Przeglądarka i wydajność · Senior · Pytanie 65 z 75
Dlaczego iframe z sandbox na osobnym originie to popularny sposób wyświetlania niezaufanego HTML (np. widżetów od użytkowników)?
<iframe sandbox="allow-scripts" src="https://usercontent.example-cdn.com/widget/42"></iframe>- 1Iframe'y przyspieszają ładowanie treści
- 2Iframe'y z sandbox w ogóle nie mogą wykonywać JavaScriptu, nawet z
allow-scripts - ✓Poprawna odpowiedź: Kod działa w innym originie z ograniczonymi możliwościami, więc nie ma dostępu do DOM, ciasteczek ani storage aplikacji
Wyjaśnienie
Dlatego serwisy hostują treści użytkowników na osobnych domenach. Nigdy nie łącz allow-scripts z allow-same-origin dla treści same-origin.