面试题：iframe 用途？sandbox 与跨域隔离？

用途

嵌入另一文档：第三方组件、支付、预览、旧系统嵌套等。

隔离

• iframe 内文档有独立 window，同源策略限制父子 DOM/JS 互访。
• 跨域仅能通过 postMessage 等约定通信。

sandbox 属性

限制内嵌页能力（脚本、表单提交、弹窗等），逐项放行用 allow-scripts、allow-same-origin 等；配置错误可能削弱安全，需最小权限。

X-Frame-Options / CSP frame-ancestors

服务端防止被点击劫持：禁止站点被嵌到恶意父页。