SessionStorage 在同源 iframe 与父页间共享，不按嵌套层级隔离；实现层级隔离需采用 sandbox 独立上下文、key 前缀逻辑隔离或 postMessage 主控管理，且 StorageEvent 不跨 iframe 触发。
SessionStorage 在 iframe 中默认是同源隔离的，但不同层级的 iframe（比如父页面和子 iframe）只要同源，就共享同一个 sessionStorage 实例——它不按嵌套层级划分，而是按“浏览上下文组”和“源（origin）”划分。这意味着：父页和同源 iframe 读写的是同一份 sessionStorage，无法天然实现“层级隔离”。要实现不同 iframe 层级的临时会话隔离，需主动设计隔离机制。
用 iframe 的 unique origin 或 sandbox 实现硬性隔离
若子 iframe 可控，最彻底的方式是让它运行在独立的上下文中：
- 使用
sandbox属性（如sandbox="allow-scripts"），但注意：仅 sandbox 不改变 origin，仍需配合其他手段； - 通过
src="about:blank"+document.write()或contentWindow.document动态注入脚本，使子 iframe 拥有独立的、无 origin 限制的执行环境（但受同源策略约束，仅适用于 same-origin 场景下手动创建）； - 更可靠的做法：让子 iframe 加载一个与父页同域但路径/参数可区分的 HTML（例如
/iframe-session-a.html?ctx=level1），并在其中封装专属的 storage 管理器，逻辑上划清边界。
基于 key 前缀的逻辑隔离（推荐轻量方案）
不改变浏览器行为，而是在应用层约定命名空间：
- 父页存数据时加前缀，如
sessionStorage.setItem('parent:user', 'alice')； - 子 iframe 存数据时用自己上下文标识，如
sessionStorage.setItem('iframe-level2:token', 'xyz')； - 封装统一的访问函数，自动注入/解析前缀，避免手动拼接出错；
- 注意：这种方案不防误读，适合信任环境；若需强隔离，仍需结合 iframe 独立上下文或 postMessage + 主动管理。
用 postMessage + 主控 session 管理器协调多层
由父页面作为 session 中枢，所有 iframe 通过消息通信读写自己的 session 数据：
立即学习“Java免费学习笔记（深入）”；
- 父页维护一个 Map，如
sessionByFrameId = { 'frame-1': {}, 'frame-2': {} }； - 子 iframe 发送
postMessage({ type: 'session:set', key: 'user', value: 'bob' }, '*')，父页接收后存入对应 frame 的私有对象； - 读取时也走 message 回传，确保数据不出界；
- 优势是完全可控、跨域也可扩展（需校验 origin），缺点是需自行处理序列化、过期、事件通知等。
注意：document.domain 不再适用，且 StorageEvent 不跨 iframe 触发
即使父子页通过 document.domain = 'example.com' 放宽同源限制，sessionStorage 仍共享——这反而加剧冲突风险。另外，storage 事件只在**同浏览上下文**中触发，即父页监听不到 iframe 内对 sessionStorage 的修改，反之亦然。因此不能依赖该事件做跨层同步。
