<iframe>中srcdoc=“…”和src=“data:text/html，…”有什么区别？

在HTML中，<iframe>标签可以通过src和srcdoc属性来指定要在内联框架中显示的内容。这两个属性虽然能达到相似的目的，即在<iframe>中显示HTML代码，但它们之间存在一些关键区别：

1. 定义和用途：

   • srcdoc属性允许直接在<iframe>标签内定义HTML内容。使用srcdoc时，你可以直接在属性中写入HTML代码，而不需要通过URL来加载内容。
   • src属性通常用于指定一个外部页面的URL，但也可以使用data:协议来嵌入数据。使用src="data:text/html,..."时，你实际上是创建了一个数据URL，该URL包含直接编码在URL中的HTML内容。

2. 安全性：

   • 使用srcdoc属性相对更安全，因为它不依赖于外部资源。这意味着它不容易受到中间人攻击（MITM）的影响。另外，使用srcdoc时，可以更精确地控制内容，因为它是直接内嵌的。
   • 使用data:协议在src属性中虽然也避免了外部资源的加载，但创建数据URL可能涉及到更复杂的编码过程，且如果处理不当，可能会存在注入攻击的风险。

3. 兼容性和使用场景：

   • srcdoc属性在较新的浏览器中得到了良好的支持，但在一些旧版浏览器中可能不被支持。
   • data:协议在大多数现代浏览器中都有很好的支持，但因为其内容直接以URL形式存在，可能会导致URL长度的限制问题。

实际案例

假设你需要在一个<iframe>中显示一个简单的HTML页面，例如一个只含有“Hello, world!”的段落。

使用srcdoc属性的示例：

html
<iframe srcdoc="<p>Hello, world!</p>"></iframe>

使用src属性和data:协议的示例：

html
<iframe src="data:text/html;base64,PHA+SGVsbG8sIHdvcmxkITwvcD4="></iframe>

在这个例子中，HTML内容是先被转换成base64编码，然后作为URL的一部分。这种方法虽然有效，却增加了实施的复杂度。

总结来说，srcdoc和src属性的使用取决于具体的应用场景和对浏览器兼容性的要求。在大多数情况下，如果你想直接在<iframe>中嵌入简短的HTML代码，srcdoc是一个更直接和安全的选择。