iframe-Sandbox
HTML5-Attribut für <iframe>, das drastisch einschränkt, was eingebetteter Inhalt darf. <iframe sandbox> = maximal restriktiv (kein JS, keine Formulare, keine Popups, keine Top-Navigation, eigener Origin).
Granulare Freigaben über das allow-Flag: sandbox="allow-scripts allow-forms allow-same-origin". Moderne Nutzung: nutzergenerierten HTML-Code (Rich-Text-Editor-Vorschau, eingebettete Snippets) sicher einbetten. Cloud-IDEs wie CodeSandbox führen fremden Code in einem sandbox-iframe plus Service Worker zur Isolation aus. Anti-Pattern: allow-scripts allow-same-origin zusammen → Escape möglich, das Sandboxing ist gebrochen. Kombination mit CSP frame-src für Defense-in-Depth. iframe srcdoc + sandbox ergibt inline abgesichertes Einbetten.