iframe و محتوای جاسازی‌شده؛ مرز یک سند دیگر

یک صفحه داخل صفحهٔ دیگر

iframe یک سند مستقل را داخل صفحه نمایش می‌دهد. برای نام قابل‌فهم آن title بنویس، اندازهٔ مناسب بده و اگر پایین صفحه است loading="lazy" را بررسی کن. مجوزها را فقط مطابق نیاز واقعی بده.

این نمونه به‌جای درخواست بیرونی، یک سند کوتاه و ثابت را از srcdoc نمایش می‌دهد:

<iframe title="نمونهٔ پیام کارگاه"
        srcdoc="&lt;p lang=&quot;fa&quot; dir=&quot;rtl&quot;&gt;خوش آمدی!&lt;/p&gt;"
        sandbox width="400" height="120">
</iframe>

sandbox محدودیت‌هایی بر سند درون قاب اعمال می‌کند. یک sandbox خالی از حالت بدون sandbox محدودتر است. توکن‌های allow-* بخش‌هایی از محدودیت را برمی‌دارند؛ ترکیب allow-scripts و allow-same-origin برای سند هم‌مبدأ می‌تواند جداسازی را بی‌اثر کند. آن‌ها را کورکورانه اضافه نکن. ویژگی allow مجوز قابلیت‌هایی مثل دوربین را کنترل می‌کند و با sandbox یک مفهوم نیست.

هر سایت اجازهٔ جاسازی‌شدن نمی‌دهد؛ ممکن است سیاست‌های سرور با CSP یا X-Frame-Options جلوی نمایش را بگیرند. خالی‌بودن قاب همیشه خطای HTML تو نیست. referrerpolicy می‌تواند اطلاعات ارجاع ارسالی را محدود کند.

object و embed هم برای محتوای بیرونی وجود دارند، اما معمولاً لینک دانلود و جایگزین روشن برای فایل‌هایی مثل PDF تجربهٔ بهتری فراهم می‌کند. فایل یا کد ناشناس را به‌عنوان محتوای قابل‌اعتماد وارد نکن.

منبع: استاندارد HTML، عنصر iframe.