直接访问跨域iframe的contentWindow属性会触发SecurityError，因浏览器强制同源策略禁止任何跨域DOM读写；postMessage是唯一被规范允许的跨域通信方式，需严格校验event.origin并采用“请求-应答”模式确保状态同步可靠。
为什么直接访问 iframe.contentWindow 会失败
跨域 iframe 的 window.contentWindow 对象存在，但访问其 document、location 或任意属性时会抛出 SecurityError: Blocked a frame with origin "<a href="https://www.php.cn/link/e75a2d435455f0626ccf0af67216e76f">https://www.php.cn/link/e75a2d435455f0626ccf0af67216e76f</a>" from accessing a cross-origin frame.。这不是权限配置问题，而是浏览器强制的同源策略限制——哪怕你只读 iframe.contentWindow.location.href，也会触发拒绝。
- 浏览器禁止任何跨域 DOM 读写，包括
postMessage之外的所有方式 -
window.postMessage是唯一被规范明确允许的跨域通信通道 - 它不绕过同源策略，而是通过显式授权（目标 origin 校验）实现可控通信
必须校验 event.origin，否则等于裸奔
收到 message 事件时，仅靠 event.data 判断内容是危险的。攻击者可伪造 iframe 并调用 parent.postMessage(..., '*') 向你的页面注入恶意数据。
- 总是检查
event.origin === '<a href="https://www.php.cn/link/c29b6bce1a5651a80b6953f683046957">https://www.php.cn/link/c29b6bce1a5651a80b6953f683046957</a>'，不要用'*'作为 targetOrigin 发送敏感消息 - 若需支持多个域名，用白名单数组比字符串匹配更安全：
if (!['https://www.php.cn/link/e75a2d435455f0626ccf0af67216e76f', 'https://b.net'].includes(event.origin)) return;
- 注意：协议、端口、子域名都参与 origin 比较，
<a href="https://www.php.cn/link/13aa1df0f906a7db328f56a81aed2417">https://www.php.cn/link/13aa1df0f906a7db328f56a81aed2417</a>和<a href="https://www.php.cn/link/e75a2d435455f0626ccf0af67216e76f">https://www.php.cn/link/e75a2d435455f0626ccf0af67216e76f</a>视为不同 origin
如何设计带响应机制的双向状态同步
单纯单向发消息无法确认对方是否收到或处理成功，容易导致状态不一致。推荐用「请求-应答」模式封装状态同步逻辑：
- 主页发送状态变更时附带唯一
id（如Date.now() + Math.random()） - iframe 收到后处理状态，并调用
event.source.postMessage({ type: 'ACK', id: xxx }, event.origin)回复 - 主页监听自身
message事件，匹配id确认响应，超时未收则重试或报错 - 避免在 iframe 中直接修改
parent的变量，所有状态变更必须走postMessage并由主页面统一更新
iframe 加载完成前发消息会丢失，怎么兜底
iframe 的 load 事件触发时，其内部 JS 可能尚未执行完毕，message 监听器可能还没注册。此时发消息会被静默丢弃。
- 主页侧：监听
iframe.onload后延迟 100ms 再发初始化消息（不是立即发） - iframe 侧：在全局作用域立即注册
message监听器（不要等DOMContentLoaded） - 更稳妥做法是 iframe 主动“握手”：加载完成后主动向 parent 发送
{ type: 'READY' }，主页收到后再开始同步状态 - 不要依赖
iframe.contentWindow是否为 null 来判断就绪，它在load前就已是有效对象
实际中最容易被忽略的是 origin 校验的严格性和握手时机——这两个点一旦松懈，要么通信不可靠，要么直接引入 XSS 风险。
