iframe sandbox 属性中 allow-scripts 令牌为何不解除父页面的跨域限制
allow-scripts 令牌仅控制嵌入页面内部的脚本执行，不会改变同源策略对父页面访问 iframe DOM 的限制。
allow-scripts 令牌对脚本执行的控制范围
allow-scripts 令牌仅允许嵌入页面在其自身的浏览上下文中运行脚本，并不会自动解除同源策略对父页面的限制。这意味着父页面无法通过 JavaScript 访问嵌入页面的 DOM，也无法读取其 Cookie 或 LocalStorage。即使嵌入页面运行了脚本，这些脚本也无法直接与父页面进行通信，除非通过特定的跨域通信机制。因此，allow-scripts 的作用范围仅限于嵌入页面内部，不会影响父页面的安全策略。
如果未使用 allow-scripts 令牌，嵌入页面将无法执行任何 JavaScript 代码，这会阻止许多动态交互功能。然而，这并不意味着父页面可以随意访问嵌入页面的内容。父页面仍然受到同源策略的保护，无法直接操作嵌入页面的 DOM。因此，allow-scripts 令牌的引入是为了平衡功能性和安全性，它允许嵌入页面运行必要的脚本，同时保持父页面的安全边界。
同源策略对父页面访问 iframe 的限制
同源策略是浏览器的一项安全机制，它限制了不同源之间的文档和脚本之间的交互。对于 iframe，同源策略意味着父页面只能访问同源的 iframe 内容，而对于跨源的 iframe，父页面无法访问其 DOM、Cookie 或 LocalStorage。即使嵌入页面运行了脚本，这些脚本也无法直接与父页面进行通信，除非通过特定的跨域通信机制，如 Window.postMessage()。因此，allow-scripts 令牌不会改变同源策略对父页面的限制。
如果嵌入页面与父页面具有相同的源，并且同时使用了 allow-scripts 和 allow-same-origin 令牌，嵌入页面可能会移除 sandbox 属性，从而失去安全性保护。这种情况下，嵌入页面可能会尝试访问父页面的敏感数据，如 Cookie 或 LocalStorage。因此，强烈建议不要在同源嵌入时同时使用这两个令牌，以防止嵌入页面移除 sandbox 属性，从而失去安全性保护。
同源嵌入时的安全建议
当嵌入页面与父页面具有相同的源时，强烈建议不要同时使用 allow-scripts 和 allow-same-origin 令牌。这是因为嵌入页面可能会移除 sandbox 属性，从而失去安全性保护，使其与未使用 sandbox 属性的情况无异。这种情况下，sandbox 属性将失去其应有的作用。因此，建议将嵌入页面部署在不同的源上，这样可以利用同源策略的限制，防止嵌入页面访问父页面的敏感数据。
如果嵌入页面需要与父页面进行交互，但又希望保持安全性，可以考虑将嵌入页面部署在不同的源上。这样可以利用同源策略的限制，防止嵌入页面访问父页面的敏感数据。此外，还可以结合其他安全措施，如内容安全策略（CSP），进一步增强嵌入内容的安全性。通过这些方法，可以在保证功能性的同时，最大限度地提高安全性。
验证权限限制是否生效的方法
要验证 allow-scripts 令牌是否生效，可以在嵌入页面中尝试执行受限操作，例如提交表单或打开弹窗。如果操作被阻止，则说明限制已生效。例如，如果 sandbox 属性为空，尝试提交表单时应该会看到表单被显示但无法提交。如果添加了 allow-forms 令牌，表单应该能够提交。通过这些方法，可以确认 sandbox 属性是否按预期工作。
另一种验证方法是检查嵌入页面的控制台。如果尝试执行被禁止的操作，浏览器可能会在控制台中显示错误信息。例如，如果尝试打开弹窗但未使用 allow-popups 令牌，控制台可能会显示“Blocked opening window”错误。通过这些方法，可以确认 sandbox 属性是否按预期工作。此外，还可以通过父页面的控制台检查是否能够访问嵌入页面的 DOM，以验证同源策略的限制是否生效。
资料与延伸阅读
你可以通过以下原始资料核对文中概念，并继续深入阅读。