多级 iframe 中 postMessage 需逐层中继，父页不可直发孙 iframe；子 iframe 必须用缓存的 contentWindow 转发并校验 targetOrigin；顶层通信应使用 window.top 并判空，监听器需尽早注册且 contentWindow 必须有效。
多级 iframe 嵌套下，postMessage 不会自动透传，必须手动逐层中转；跳过中间层、用 '*' 作 targetOrigin、或误用 window.parent 获取目标窗口，都会导致消息静默丢失或抛 SecurityError。
父页发消息给孙 iframe 为什么收不到
常见错误是父页直接对孙 iframe 的 contentWindow 调用 postMessage——但孙 iframe 并不在父页 DOM 树里，contentWindow 是 null 或指向错误上下文。
- 必须由子 iframe 充当“中继”：父页 → 子 iframe → 孙 iframe，每层独立监听 + 转发
- 转发时
targetOrigin必须填**下一层的实际 origin**（如'https://grandchild.example.com'），不能复用上层的event.origin - 子 iframe 转发前必须检查自身持有的孙 iframe 元素的
contentWindow是否存在且非null，否则跳过或重试 - 若孙 iframe 是动态创建的（如点击后
appendChild），需先监听其load事件再发消息
子 iframe 如何安全转发消息给孙 iframe
子 iframe 不能依赖 window.parent 或 event.source 反向定位目标窗口，跨域下这些引用不可写、不可靠。
- 转发时必须显式使用缓存的孙 iframe 的
contentWindow引用，例如：grandchildIframe.contentWindow.postMessage(data, 'https://grandchild.example.com') - 不要用
event.source.postMessage()“原路返回”，因为event.source是发送方窗口，不是“父级” - 中继层应剥离敏感字段（如明文
token），改用短期票据（tempTicket）代替 - 建议每条消息带
traceId字段，便于跨层级日志追踪，但不可用于权限判断
深层 iframe 怎么找顶层窗口并安全通信
别手写 while (p = p.parent) 向上遍历——跨域时访问 p.parent 会直接抛 SecurityError，导致逻辑中断或卡死。
立即学习“前端免费学习笔记（深入）”；
- 直接用
window.top，它在同域/跨域下都可读、稳定、无异常，且顶层页中恒有window.top === window - 使用前必须判空：
if (window.top) window.top.postMessage(...)，防止 iframe 被动态移除后window.top为null - 微前端场景中，“业务顶层”未必是
window.top，主应用应显式暴露标识（如window.__MAIN_APP__ = true），子 iframe 最多向上查 2–3 层即可 - 想通知顶层页面（如登录过期），只能走
window.top.postMessage()，不能调用window.top.location.href跳转——后者受sandbox和 CSP 限制，常静默失败
最易被忽略的是监听器注册时机和 contentWindow 生效性：孙 iframe 的 message 监听器必须在 <script></script> 第一行就执行，不能等 DOMContentLoaded；任何转发前不检查 contentWindow 是否有效，都会让消息无声消失。
