Me gustaría mostrar contenido de correo electrónico en una aplicación web, pero me gustaría evitar la ejecución de js y la carga de recursos que no están incrustados (base64). ¿Hay alguna característica que pueda deshabilitar tales cosas en un iframe o algo así? ¿O necesito analizar y eliminar los datos no deseados por mí mismo (realmente no es lo que más me gusta hacer y será difícil mantenerlo funcionando correctamente)?

Para evitar la ejecución de JS, puedo usar el atributo sandbox: https://developer.mozilla.org/en-US/docs/Web/HTML/Element/iframe#attr-sandbox

Pero no sé cómo puedo evitar el acceso a recursos externos (Imágenes, Audio, CSS, ...) de una manera fácil. Podría analizar y modificar el contenido, pero parece una buena manera de estropear el aspecto de seguridad de mi objetivo ^^.