HTML中嵌入外部网页的标准方案是iframe元素，其支持基础嵌入、响应式控制、跨域通信、安全属性配置，并可被Web Components等现代方案替代。
如果您希望在当前网页中嵌入另一个独立网页的内容，HTML 提供了 iframe 元素作为标准解决方案。以下是实现 iframe 嵌套的多种技术方法及关键注意事项：
一、基础 iframe 标签嵌入
iframe 是 HTML 内置的内联框架标签，用于在当前页面中加载并显示外部网页或资源，其内容与主页面相互隔离，拥有独立的文档上下文。
1、在 HTML 文件的 区域内插入 标签。
2、设置 src 属性为待嵌入页面的完整 URL（例如 https://example.com）。
立即学习“前端免费学习笔记（深入）”；
3、通过 width 和 height 属性指定显示区域尺寸，单位可为像素或百分比。
4、添加 title 属性以提供可访问性描述，例如 title="公司官网首页"。
二、响应式 iframe 尺寸控制
为适配不同设备屏幕，需避免固定像素宽高，改用相对单位与 CSS 配合实现流体缩放，防止横向滚动或裁剪。
1、为 iframe 设置 width="100%" 且移除 height 属性。
2、将 iframe 包裹于一个具有 position: relative 的容器 div 中。
3、在该容器上使用 padding-top 百分比值模拟宽高比（如 56.25% 对应 16:9）。
4、对 iframe 应用 position: absolute; top: 0; left: 0; width: 100%; height: 100%。
三、跨域 iframe 内容交互限制与绕过方式
浏览器同源策略默认禁止父页面脚本读写不同源 iframe 的 DOM 或执行 JS，但可通过 postMessage API 实现安全通信。
1、在父页面调用 iframe.contentWindow.postMessage() 发送消息，目标 origin 必须明确指定。
2、在子页面监听 window.addEventListener('message', handler) 接收数据。
3、子页面响应时，通过 event.source.postMessage() 向父页面回传，且必须校验 event.origin 是否可信。
4、父页面接收响应时同样需验证 event.origin 并检查 event.data 结构合法性。
四、iframe 安全属性强化配置
现代浏览器支持多项 iframe 属性以限制嵌入内容行为，降低 XSS、点击劫持等风险，必须显式声明以启用保护机制。
1、添加 sandbox 属性启用沙箱模式，默认禁用脚本、表单提交、插件等能力。
2、按需追加沙箱权限令牌，如 sandbox="allow-scripts allow-same-origin"，切勿无条件使用 allow-all。
3、设置 referrerpolicy="no-referrer" 防止嵌入页获取父页面 URL 路径信息。
4、添加 loading="lazy" 延迟加载非首屏 iframe，提升初始渲染性能。
五、替代 iframe 的现代方案：Web Components 模块化嵌入
对于需深度集成、共享样式或状态的场景，原生 Web Components（如 custom element + shadow DOM）可规避 iframe 的隔离限制，提供更可控的嵌入体验。
1、定义自定义元素类，继承 HTMLElement，并在 connectedCallback 中动态创建 shadow root。
2、使用 fetch() 加载远程 HTML 片段，解析后注入 shadow DOM。
3、通过 static get observedAttributes() 监听属性变更，触发局部更新而非整页重载。
4、暴露 method 与 Event 接口供外部 JS 调用或监听，实现双向通信。
