Permissions Policy 怎样限制页面和 iframe 的设备能力？
用 HTTP 头和 iframe allow 属性控制摄像头、麦克风、地理位置等能力，理解策略继承和权限提示的关系。
参考答案
Permissions Policy 通过响应头和 iframe 的 allow 属性声明哪些来源可以使用特定能力。它可以限制摄像头、麦克风、地理位置等 API，即使用户此前允许过，也不代表被策略禁止的嵌入页面能够使用。
策略会沿文档和 iframe 层级继承，来源列表、默认允许范围和嵌套页面配置要一起检查。错误的策略可能让功能看似“权限已允许”但实际调用失败。
它不是用户授权或服务端鉴权替代品。仍需安全上下文、用户激活、浏览器权限和业务权限，并在错误提示中区分“策略禁止”和“用户拒绝”。