Поскольку пользовательский контент может содержать неприятности, которые могут иметь доступ к данным, размещенным в первичном домене.
Он также останавливает отправку таких запросов, как файлы cookie и аутентификация, в запросе к контенту CDN.1004 *
Запрещение пользователям вставлять скрипты и в то же время разрешать пользователям отправлять html крайне сложно на стороне сервера - поэтому у нас должна быть песочница.* довольно старый пост Whatwg