iframe sandbox
Attributo HTML5 di <iframe> che limita drasticamente ciò che il contenuto incorporato può fare: <iframe sandbox> è la modalità più restrittiva (niente JS, form, popup, navigazione della pagina superiore; origine unica).
Le singole autorizzazioni si riattivano con i flag: sandbox="allow-scripts allow-forms allow-same-origin". Uso tipico: mostrare in sicurezza HTML generato dagli utenti, come anteprime di editor o snippet incorporati. Gli IDE nel cloud, come CodeSandbox, eseguono il codice dell'utente in un iframe in sandbox con un service worker per l'isolamento. Antipattern: allow-scripts e allow-same-origin insieme permettono di uscire dalla sandbox e ne annullano lo scopo. Si abbina a CSP frame-src per una difesa a più livelli; srcdoc con sandbox dà un incorporamento inline protetto.