Песочница iframe
Атрибут HTML5 для <iframe>, резко ограничивающий возможности встроенного содержимого. Голый <iframe sandbox> — максимум ограничений: ни JS, ни форм, ни всплывающих окон, ни навигации верхнего уровня, уникальный origin.
Нужное включается флагами: sandbox="allow-scripts allow-forms allow-same-origin". Применение: безопасное встраивание пользовательского HTML (предпросмотр в редакторе, сниппеты). Облачные IDE вроде CodeSandbox запускают чужой код в iframe с sandbox и service worker. Антипаттерн: allow-scripts вместе с allow-same-origin — возможен побег, песочница теряет смысл. Для глубокой защиты сочетайте с CSP frame-src; iframe srcdoc + sandbox даёт безопасное встраивание «на месте».