页中页：iframe 这把“俄罗斯套娃”该怎么用

iframe 就是网页里的“小浏览器窗口”，能把别人的页面整块搬进你家。广告、视频、地图全靠它，但用不好也最容易招毒。

1. 最小可用代码

   <iframe src="https://example.com" width="600" height="400" frameborder="0"></iframe>

2. 常用属性一口清
3. src：搬哪页
4. width/height：占地多大，像素或百分比随你
5. allowfullscreen：允许全屏，插视频必加
6. name：给窗口起名字，<a target="名字"> 可定向跳转
7. sandbox：安全锁，值后面跟 allow-scripts 等权限，别随便全开
8. 响应式套路
   外头包一层“保姆”div，用 padding 撑出 16:9 高度，再让 iframe 绝对定位铺满：

.video-box{
  position:relative;
  width:100%;
  padding-bottom:56.25%; /* 16:9 的高 */
}
.video-box iframe{
  position:absolute;
  top:0; left:0;
  width:100%; height:100%;
  border:0;
}

4. 安全红线
5. 只嵌 HTTPS，HTTP 会被浏览器直接拦
6. 不信任的站点加 sandbox，默认禁止脚本、表单、弹窗；需要啥权限再单独放
7. 跨域别想偷 DOM，父页和子页用 postMessage 说话，否则浏览器直接拍桌子

一句话：
iframe 是瑞士军刀，也是潘多拉盒；先锁权限，再谈功能，别让自家网页成了别人的跳板。