iframe sandbox
<iframe> üzerinde, gömülü içeriğin yapabileceklerini ciddi biçimde kısıtlayan HTML5 özniteliği. <iframe sandbox> = azami kısıtlama (JS yok, form yok, açılır pencere yok, üst gezinme yok, benzersiz köken).
İnce ayarlı izinler allow bayraklarıyla verilir: sandbox="allow-scripts allow-forms allow-same-origin". Modern kullanım: kullanıcı tarafından üretilen HTML’i güvenle gömmek (zengin metin düzenleyici önizlemesi, gömülü kod parçaları). Bulut IDE’leri: CodeSandbox, kullanıcı kodunu yalıtım için sandbox’lı bir iframe ve service worker içinde çalıştırır. Kötü desen: allow-scripts allow-same-origin birlikte kullanıldığında kaçış mümkün olur ve sandbox işe yaramaz. Derinlemesine savunma için CSP frame-src ile birleştirin. iframe srcdoc + sandbox = satır içi güvenli gömme.