本文介绍一种基于 postmessage 的安全、可靠方式，使 iframe 根据其内部文档实际尺寸动态调整高度（及宽度），避免滚动条，同时严格遵循同源策略与跨域通信规范。
在 Web 开发中，iframe 常用于嵌入第三方内容或隔离页面模块。但一个常见痛点是：iframe 无法自动适配子页面内容高度——若内容高度变化（如搜索结果增多、折叠面板展开），固定高度的 iframe 会触发内部滚动条，影响用户体验和视觉一致性。
关键在于：iframe 本身无法主动控制自身尺寸，其宽高完全由父页面 DOM 属性（width/height）或 CSS 决定。尤其当 iframe 指向跨域资源时，浏览器出于安全限制（同源策略），禁止父页直接访问子页 DOM（如 iframe.contentDocument），因此传统 scrollHeight 读取方式失效。
✅ 正确解法是采用 跨域安全通信机制 window.postMessage：由子页面（iframe 内容页）主动测量自身文档尺寸，并向父页面发送结构化消息；父页面验证来源后，动态更新 iframe 元素属性。
✅ 实现步骤（双端协同）
1. 父页面（parent.html）：监听并响应尺寸消息
<!DOCTYPE html>
<html>
<head>
<script>
window.addEventListener("message", (event) => {
// ✅ 严格校验：仅接受可信源（替换为你的 iframe 实际域名）
if (event.origin !== "https://example.org") return;
// ✅ 校验消息格式与类型
if (typeof event.data !== "object" || event.data.type !== "resize") return;
// ✅ 安全获取 iframe 元素（推荐使用 id 替代 name，更健壮）
const iframe = document.getElementById("dynamic-iframe");
if (!iframe) return;
// ✅ 动态设置宽高（单位为像素，可加 px 后缀，也可省略）
iframe.width = event.data.width;
iframe.height = event.data.height;
});
</script>
</head>
<body>
<h2>主页面内容</h2>
<!-- 推荐添加 id 并设初始宽高 -->
<iframe
id="dynamic-iframe"
name="myframe"
src="https://example.org/myframe.html"
width="100%"
height="300"
frameborder="0"
></iframe>
</body>
</html>2. 子页面（myframe.html，位于 iframe 源域）：测量并上报尺寸
<!DOCTYPE html>
<html>
<head>
<script>
function sendSize() {
// ✅ 使用 scrollWidth/scrollHeight 获取完整内容尺寸（含溢出）
const width = Math.max(
document.body.scrollWidth,
document.documentElement.scrollWidth
);
const height = Math.max(
document.body.scrollHeight,
document.documentElement.scrollHeight
);
// ✅ 向父窗口发送消息（第二个参数为父页确切 origin，不可用 *）
window.parent.postMessage(
{
type: "resize",
width: Math.ceil(width),
height: Math.ceil(height)
},
"https://your-parent-domain.com" // ⚠️ 必须替换为父页面真实协议+域名
);
}
// ✅ 页面加载完成 & 窗口大小变化时触发（覆盖字体加载、图片渲染等延迟场景）
window.addEventListener("load", sendSize);
window.addEventListener("resize", sendSize);
// ✅ 可选：监听 DOM 变化（如 AJAX 加载新内容后）
// new MutationObserver(sendSize).observe(document.body, { childList: true, subtree: true });
</script>
</head>
<body style="margin: 0; min-height: 100vh;">
<!-- 你的动态内容 -->
<div>结果列表：...</div>
</body>
</html>⚠️ 重要注意事项
- Origin 必须精确匹配：postMessage 的 targetOrigin 参数（子页发送时）和 event.origin（父页校验时）需完全一致（含协议、域名、端口），不可使用 "*"（存在 XSS 风险）。
- 尺寸测量要健壮：优先取 documentElement 和 body 的 scrollWidth/Height 最大值，兼容不同渲染模式。
- 响应式增强：若子页支持响应式设计，建议在 resize 事件中节流（如 debounce(100ms)）避免频繁重绘。
- 降级处理：父页应保留合理默认高度（如 min-height: 400px），确保 JS 失效时仍可基本浏览。
通过该方案，你既能实现 iframe 的“无感自适应”，又完全符合现代浏览器安全模型——无需服务端代理，不依赖 jQuery，原生 JavaScript 即可开箱即用。
