由于同源策略和沙盒限制，无法直接读取跨域沙盒 iframe 的 contentDocument.title；但可通过 postMessage 机制由子页面主动向父页面传递标题信息，实现安全、合规的跨域通信。
由于同源策略和沙盒限制，无法直接读取跨域沙盒 iframe 的 `contentdocument.title`；但可通过 `postmessage` 机制由子页面主动向父页面传递标题信息，实现安全、合规的跨域通信。
在构建基于 HTML 的轻量级浏览器（如嵌入式网页容器或标签页式界面）时，常需动态显示 iframe 加载页面的 <title> 作为标签名。然而，当 iframe 指向跨域 URL（如 https://www.bing.com）且启用了 sandbox="allow-scripts" 时，iframe.contentDocument 将为 null，直接访问 .title 会抛出 SecurityError 或返回 undefined——这是浏览器强制实施的安全隔离，无法绕过，也不应尝试规避。
可行且标准的解决方案是利用 跨文档消息通信（Cross-document messaging），即 window.postMessage() API。其核心思想是：由 iframe 内的页面（子页面）在加载完成后主动将自身 document.title 发送给父页面；父页面监听 message 事件并提取数据。
✅ 正确实现步骤如下：
- 子页面注入（需可控或可扩展）：若你有能力修改目标页面（如托管内部页面），或可通过代理/注入脚本方式向第三方页面注入代码（注意合规性与 CSP 限制），则在 iframe 页面中添加：
// 在 iframe 内部执行（例如放在 <body> 底部或 DOMContentLoaded 中）
if (window.top !== window.self) {
// 确保仅向顶层父窗口发送，避免多层嵌套干扰
window.top.postMessage({
type: 'PAGE_TITLE',
title: document.title,
url: location.href
}, '*'); // 生产环境建议指定确切 origin 替代 '*'
}⚠️ 注意：'*' 作为 targetOrigin 虽便于开发，但存在安全风险；若知悉父页面确切协议+域名（如 https://your-app.com），应替换为该值以启用 origin 校验。
- 父页面监听与处理：
const iframe = document.querySelector('iframe');
const titleSpan = document.querySelector('#title');
// 推荐：在 iframe load 后再开始监听，避免消息丢失
iframe.addEventListener('load', () => {
const handleMessage = (event) => {
// 安全校验：验证消息来源（关键！）
if (event.source !== iframe.contentWindow) return;
if (event.data?.type === 'PAGE_TITLE') {
titleSpan.textContent = event.data.title || '(无标题)';
console.log('收到 iframe 标题:', event.data.title);
}
};
window.addEventListener('message', handleMessage, false);
// 可选：为防止重复监听，可在首次成功接收后移除
// （若 iframe 可能多次重载，建议保留监听器并做去重逻辑）
});- 增强健壮性建议：
- 添加 DOMContentLoaded 或 title 变更监听（如 document.addEventListener('DOMSubtreeModified', ...)），应对动态更新标题的 SPA；
- 使用 MutationObserver 监听 <title> 元素变化，并重新 postMessage；
- 对于完全不可控的第三方站点（如 bing.com），此方案不可行——因其不允许外部注入脚本；此时只能依赖浏览器原生能力（如 document.title 仅对同源有效），或转向服务端渲染代理（非前端方案）。
? 总结：跨域沙盒 iframe 的标题获取本质是“协作式通信”，而非“单向读取”。它不破坏安全模型，而是遵循现代 Web 的显式授权原则。只要子页面愿意配合发送消息，父页面即可可靠获取标题；反之，若目标站点禁止脚本注入或设置了严格 CSP，则前端无解——这正是沙盒设计的初衷：保护用户免受不可信内容的侵害。
