Браузер і продуктивність · Senior · Запитання 65 з 75
Чому sandboxed iframe на окремому origin - поширений спосіб показувати недовірений HTML (наприклад, віджети від користувачів)?
<iframe sandbox="allow-scripts" src="https://usercontent.example-cdn.com/widget/42"></iframe>- 1Iframe пришвидшують завантаження контенту
- 2Sandboxed iframe взагалі не можуть виконувати JavaScript, навіть з
allow-scripts - ✓Правильна відповідь: Код виконується в іншому origin з обмеженими можливостями, тож не має доступу до DOM, cookies чи сховищ застосунку
Пояснення
Саме тому сервіси розміщують контент користувачів на окремих доменах. Ніколи не поєднуйте allow-scripts з allow-same-origin для same-origin контенту.