CSP sandbox 与 iframe sandbox 速查
搜索 sandbox token，比较 CSP sandbox 指令和 iframe sandbox 属性的作用范围，查看脚本、同源、表单、弹窗、导航、下载等组合风险。
这是本地 token 速查和组合说明，不请求网络或 URL、不上传或持久化输入、不执行页面、不运行用户 HTML、不测试远程 Header，也不证明站点安全。
场景预设
预设只筛选和标记相关 token，不生成安全结论。
Token 矩阵
组合风险与误区
默认完整分析报告
报告只使用页面内置 token、当前筛选和场景名称，不包含搜索词、URL、Cookie、secret 或任意用户文本。
官方参考
仅链接官方静态文档，用于核对 token 语义；不读取本页输入。