sandbox="allow-scripts" wirkt invers

[1unitedpower]

Ein zusätzliches allow-same-origin hilft. Warum das notwendig ist, verstehe ich allerdings nicht.

Dann wird das Sandboxing allerdings ineffektiv, weil ein Skript innerhalb des iframes einfach das sandbox-Attribut vom iframe entfernen könnte. Die Spec warnt ausdrücklich vor dieser Kombination.

@mathefritz Ich würde dem gesandboxten Skript keinen direkten Zugriff auf den Eltern Browsing-Context geben, sondern postMessage für die Kommunikation verwenden.