移动端嵌套 iframe 跨域时权限继承失效？检查 allow 属性中的 origin
当移动端页面中的 iframe 导航到不同源时，默认情况下父页面设置的权限策略不会自动应用到该 iframe 中。
确认权限继承失效的具体表现
在移动端开发中，如果父页面通过 Permissions-Policy 头部限制了某个功能（如地理位置），而 iframe 内部加载了跨域内容，该功能可能无法正常工作。这是因为浏览器默认不会将父页面的策略应用到 iframe 导航后的新源中。例如，父页面允许地理位置，但 iframe 加载了第三方网站，该第三方网站可能无法获取地理位置权限，导致相关功能报错或返回 denied。这种失效通常表现为 API 调用失败或功能不可用，需要通过检查 allow 属性来修复。
排查时需要先确认失效的具体场景：检查 iframe 的 src 属性指向的 URL 是否与父页面不同源。如果不同源，且父页面设置了 Permissions-Policy 头部，那么默认情况下该策略不会自动继承。此时需要手动在 iframe 的 allow 属性中列出该源，以确保权限策略能够应用到 iframe 导航后的内容上。这一步是解决跨域权限继承问题的关键前提。
在 allow 属性中列出跨域 origin
为了解决跨域权限继承失效的问题，需要在 iframe 的 allow 属性中明确列出目标 origin。根据源中的说明，如果 iframe 导航到另一个 origin，默认情况下权限策略不会应用。通过在 allow 属性中列出该 origin，可以确保父页面的权限策略能够应用到 iframe 导航后的内容上。例如，如果父页面允许地理位置，而 iframe 加载了 https://a.example.com，可以在 allow 属性中添加该 origin。
具体操作时，可以在 allow 属性中列出多个 origin，用空格分隔。例如：allow='geolocation https://a.example.com https://b.example.com'。这样，当 iframe 导航到这些 origin 时，相应的权限策略将被应用。需要注意的是，allow 属性中的 origin 不需要加引号，而 Permissions-Policy 头部中的 origin 需要加引号。这一语法差异需要特别注意，以确保配置正确。
验证权限策略是否生效
配置完成后，需要验证权限策略是否生效。可以通过在 iframe 内部加载的页面中调用相关 API（如地理位置）来测试。如果配置正确，API 应该能够正常工作，而不会返回 denied。如果仍然失败，可能需要检查父页面的 Permissions-Policy 头部配置是否正确，或者 allow 属性中的 origin 是否拼写错误。
验证时还可以使用浏览器的开发者工具查看 Permissions Policy 的状态。在控制台中，可以查询 Document.featurePolicy 或 HTMLIFrameElement.featurePolicy 对象，以确认特定功能的权限状态。如果 allow 属性配置正确，查询结果应该显示该功能在指定 origin 中是允许的。如果仍然显示 denied，则需要进一步检查配置细节。
结合父页面策略与 iframe 属性的完整配置
在实际应用中，通常需要结合父页面的 Permissions-Policy 头部和 iframe 的 allow 属性来配置权限策略。父页面可以设置一个宽泛的策略，而 iframe 可以根据需要限制特定功能的使用。例如，父页面可以允许地理位置，而 iframe 可以进一步限制某些 origin 的使用。这种组合方式可以提供更精细的控制。
需要注意的是，权限策略的继承是单向的。如果父页面禁用了某个功能，子 iframe 无法重新启用它。因此，在配置时需要确保父页面的策略不会过度限制 iframe 的功能。同时，allow 属性中的策略会与父页面的策略取交集，使用最严格的限制。因此，建议在父页面中设置最宽松的策略，然后在 iframe 中根据需要添加限制。
资料与延伸阅读
你可以通过以下原始资料核对文中概念，并继续深入阅读。