iframe sandbox
Atrybut HTML5 elementu <iframe>, który drastycznie ogranicza możliwości osadzonej treści. <iframe sandbox> = maksymalne ograniczenia (bez JS, formularzy, wyskakujących okien i nawigacji strony nadrzędnej; unikalne źródło).
Uprawnienia włącza się selektywnie: sandbox="allow-scripts allow-forms allow-same-origin". Współczesne zastosowanie: bezpieczne osadzanie HTML od użytkowników (podgląd edytora tekstu sformatowanego, osadzane fragmenty). W chmurowych IDE, np. CodeSandbox, kod użytkownika działa w iframe z sandboxem plus service worker dla izolacji. Antywzorzec: allow-scripts allow-same-origin razem — możliwa ucieczka, sandbox przestaje działać. Warto połączyć z CSP frame-src dla obrony w głąb. iframe srcdoc + sandbox = zabezpieczone osadzanie inline.