不能，iframe内脚本仅同源时可通过window.parent.scrollY等直接读取父页面滚动位置；跨域必须由父页通过postMessage推送，且需校验origin并节流。
iframe 内脚本能否直接读取父页面 scrollY？
不能，除非 iframe 与父页面同源（协议 + 域名 + 端口完全一致）。跨域时浏览器会抛出 SecurityError，window.parent.scrollY 或 window.parent.document.documentElement.scrollTop 直接报错或返回 0。
同源 iframe 中获取父页面滚动位置的正确方式
必须通过 window.parent 显式访问，且注意 DOM 层级差异：
-
document.documentElement.scrollTop和document.body.scrollTop在不同浏览器/文档模式下表现不一，现代标准推荐用window.parent.scrollY（更简洁、兼容性好） - 如果父页面未声明
<!DOCTYPE html>，可能触发怪异模式，此时需 fallback 到window.parent.document.body.scrollTop - 建议统一使用
Math.max(window.parent.scrollY, window.parent.document.documentElement.scrollTop, window.parent.document.body.scrollTop)避免兼容性陷阱
示例（iframe 内 JS）：
const parentScrollTop = Math.max( window.parent.scrollY, window.parent.document.documentElement?.scrollTop || 0, window.parent.document.body?.scrollTop || 0 );
跨域 iframe 如何安全获取父页面滚动位置？
必须由父页面主动提供，iframe 无法“拉取”，只能“接收”。典型做法是父页面监听 scroll 事件，通过 postMessage 推送位置：
立即学习“前端免费学习笔记（深入）”；
- 父页面需加监听：
window.addEventListener('scroll', () => { iframe.contentWindow.postMessage({ type: 'scroll', top: window.scrollY }, 'https://iframe-origin.com') }) - iframe 内监听：
window.addEventListener('message', e => { if (e.data.type === 'scroll') console.log(e.data.top) }) - 务必校验
e.origin，避免 XSS 风险；目标 origin 必须精确匹配，不能用通配符
为什么 getBoundingClientRect() 不适合替代 scrollY？
有人试图用 document.querySelector('body').getBoundingClientRect().top 反推滚动值，但这是错误思路：
- 该值依赖视口尺寸、缩放、CSS transform、fixed 元素干扰，不是真实滚动偏移
- 在 iframe 内调用，得到的是 iframe 自身内容相对于其视口的位置，和父页面无关
- 即使同源，也无法映射到父页面的
scrollY，二者坐标系完全不同
真正需要父滚动位置时，别绕路 —— 同源就直取，跨域就靠 postMessage。最容易被忽略的是：父页面 scroll 事件频繁触发，若未节流，postMessage 可能堆积并拖慢 iframe 渲染。加个 requestAnimationFrame 节流更稳妥。
