Browser und Performance · Senior · Frage 65 von 75
Warum ist ein gesandboxtes iframe auf einem eigenen Origin ein üblicher Weg, nicht vertrauenswürdiges HTML zu rendern (etwa von Nutzern erstellte Widgets)?
<iframe sandbox="allow-scripts" src="https://usercontent.example-cdn.com/widget/42"></iframe>- 1Iframes lassen nicht vertrauenswürdige Inhalte schneller laden
- 2Gesandboxte iframes können kein JavaScript ausführen, auch mit
allow-scripts - 3Der Code erreicht weder das DOM noch die Cookies der App
Antwort zeigen
Richtige Antwort: Der Code erreicht weder das DOM noch die Cookies der App
Erklärung
Deshalb hosten Dienste Nutzerinhalte auf eigenen Domains. Kombiniere für Inhalte desselben Origins nie allow-scripts mit allow-same-origin.