postMessage 安全需严守三原则：校验 event.origin 严格相等、targetOrigin 禁用 "*" 而硬编码完整 origin、仅在 iframe load 后且 contentWindow 非 null 时调用；sandbox 配置须规避 allow-same-origin 误用，子页消息须校验 event.source。
直接用 postMessage 不等于安全，不校验 event.origin、乱写 targetOrigin 为 "*"、在 load 事件前调用，这三类操作在 2026 年已构成明确风险——Chrome 128+ 和 Firefox 125+ 会静默丢弃 "*" 消息，Safari 对 event.origin 访问更严，而未等 load 就发消息则大概率静默失败。
iframe.contentWindow.postMessage 报 Cannot read property 'postMessage' of null 怎么修
这不是跨域问题，是 DOM 时机错了。浏览器还没完成 iframe 加载，contentWindow 就是 null，此时调用任何方法都无效且不报错。
- 必须监听
load事件，且仅在该回调中访问contentWindow - 加空值判断：
if (iframe.contentWindow && iframe.contentWindow.postMessage)，不能只靠load保证（404/500 也会触发load） - 别用
setTimeout硬等，也不要用iframe.onload = handler写法（易被覆盖） - 如果 iframe 是
srcdoc或data:text/html，load可能不触发，应改由子页主动发初始化消息
postMessage 的 targetOrigin 写成 "*" 为什么在生产环境必须禁用
"*" 在 2026 年已实质失效：Chrome 128+ 和 Firefox 125+ 强制静默丢弃该消息，控制台无提示，父页以为发出去了，子页根本收不到。
- 真实风险不止是“收不到”，而是开发期用
"*"上线后，一旦子页域名变更（如从staging.example.com切到prod.example.com），通信立即中断或错发 - CDN 或反向代理可能重写响应头，导致子页实际
location.origin偏移，"*"让这种异常完全不可见 - 正确做法是硬编码完整 origin：
'https://widget.example.com:8080'，协议、域名、端口三者缺一不可 - 多环境部署时，用构建时注入配置项（如
process.env.IFRAME_ORIGIN），禁止运行时拼接
子页面 window.addEventListener('message') 怎么防止伪造消息
只比对 event.data.type 或用 includes() 匹配域名，等于把门钥匙交出去。攻击者只需构造 https://evil-example.com，就能绕过模糊校验。
立即学习“前端免费学习笔记（深入）”；
- 必须用严格相等：
if (event.origin !== 'https://parent.example.com') return，禁用正则、includes、startsWith -
event.origin每次都要现场读取，不能缓存——Safari 部分版本返回null，且不同 iframe 加载状态会影响其值 - 敏感操作（如支付确认、用户登出）必须叠加业务层防护：对
event.data关键字段做签名或一次性 token 校验，不能只信origin - 若子页部署在多个子域（如
user1.example.com、user2.example.com），用白名单数组 +ALLOWED_ORIGINS.includes(event.origin)，别拼通配符
sandbox 属性配错比不加更危险
空 sandbox 默认全禁用，但加了错误组合反而暴露权限管理疏漏，且部分权限（如 allow-same-origin）在跨域时被浏览器直接忽略，还留安全隐患。
-
sandbox="allow-scripts"允许 JS 执行，但window.parent仍为null，document.cookie不可读，origin 强制设为"null" -
sandbox="allow-scripts allow-same-origin"⚠️ 高危！仅当src真正同源（协议+域名+端口三者一致）才生效；不同源时 token 被静默丢弃，但你已暴露配置意图 - 内联事件（
onclick、onload）在 sandbox 下全部静默失效，子页逻辑必须移入<script>块并用addEventListener - 不要给第三方 iframe 加
allow-same-origin——它不会生效，只会让攻击者知道你没搞懂 sandbox
真正容易被忽略的点是：子页收到消息后，event.source 必须和你保存的 iframe.contentWindow 引用比对（注意 Safari 对跨域 location.origin 的限制可能导致该引用不可靠），否则无法确认消息确实来自你加载的那个 iframe，而非嵌套在其中的恶意 iframe。
