iframe allow 属性如何指定 Permissions Policy
allow 属性用于在 iframe 中指定 Permissions Policy，定义嵌入内容可使用的功能。
allow 属性的作用与语法
iframe 的 allow 属性用于指定 Permissions Policy，该策略定义了嵌入内容可使用的功能。例如，它可以控制是否允许访问麦克风、摄像头或电池等硬件功能。根据规范，allow 属性指定的策略是在 Permissions-Policy 头部策略之上的进一步限制，它不会替换头部策略。
allow 属性的值是一个空格分隔的令牌列表，每个令牌对应一个特定的功能。例如，allow='microphone' 表示允许嵌入内容使用麦克风。如果未设置 allow 属性，则默认允许所有功能，除非被 Permissions-Policy 头部策略限制。需要注意的是，allow 属性仅对同源或跨域的 iframe 均有效，具体取决于浏览器的实现。
常见功能令牌与示例
常见的 allow 令牌包括 allow='fullscreen'，用于允许嵌入内容通过调用 requestFullscreen() 方法激活全屏模式。另一个示例是 allow='payment'，用于允许跨域 iframe 调用支付请求 API。这些令牌可以单独使用，也可以组合使用，例如 allow='microphone camera'。
需要注意的是，某些 allow 令牌是遗留属性，已被重新定义为 allow 属性的一部分。例如，allowfullscreen 属性已被重新定义为 allow='fullscreen *'。因此，建议直接使用 allow 属性来指定功能，以保持代码的一致性和可维护性。
验证 allow 属性是否生效
要验证 allow 属性是否生效，可以在父页面和 iframe 页面中分别编写脚本。在父页面中尝试调用嵌入内容的 API（如 navigator.mediaDevices.getUserMedia），如果 allow 属性未授予相应权限，浏览器会抛出安全错误。同时，在 iframe 内部运行脚本，检查是否能够正常调用该 API，以确认 allow 属性是否生效。
如果父页面能够成功调用嵌入内容的 API，说明 allow 属性已生效。如果抛出安全错误，则说明 allow 属性未授予相应权限。无论 iframe 是否同源，allow 属性的验证方法相同。这验证了 allow 属性确实控制了嵌入内容的功能权限。
注意事项与最佳实践
在使用 allow 属性时，应谨慎设置令牌，避免过度限制导致功能失效。如果嵌入的内容需要使用特定功能，可以添加相应的 allow 令牌，但必须确保 Permissions-Policy 头部策略不会覆盖这些设置。对于跨域 iframe，始终使用 allow 属性来明确指定功能权限，以防止恶意代码滥用。
此外，allow 属性的设置应与页面的安全需求相匹配。例如，如果嵌入的内容不需要访问摄像头，则不应设置 allow='camera'。这样可以减少潜在的安全风险。同时，建议定期检查 allow 属性的设置，以确保其符合当前的安全策略和功能需求。
资料与延伸阅读
你可以通过以下原始资料核对文中概念，并继续深入阅读。