正确做法是父页通过postMessage发送音量指令，子页监听消息后在自身上下文中设置audio.volume并解除muted状态，全程校验origin、确保DOM就绪、归一化数值范围0–1，且多子页时由父页统一同步masterVolume。
父页调用子页 audio.volume 必须先确保子页已加载并暴露接口
直接写 iframe.contentWindow.audio.volume = 0.5 大概率静音或报错——contentWindow 可能为 null，子页的 audio 元素可能还没创建，甚至 DOM 根本没解析完。
正确路径是：父页发消息 → 子页收到后，在自身上下文中操作自己的 audio 元素。不能越权直取。
- 父页必须等
iframe.load事件触发后再调用postMessage，否则contentWindow不可靠 - 子页需在全局作用域（如
<script>最外层）提前声明一个可被调用的函数，比如window.setVolume = (v) => { audio.volume = Math.max(0, Math.min(1, v)); } - 子页监听
message时，只响应来自可信event.origin的{ type: 'setVolume', value: 0.7 }类型消息 - 不要在子页里把
audio放在闭包或模块作用域中——父页无法穿透访问
子页接收 volume 控制消息时，必须校验 origin 且避开 muted 干扰
event.origin 是唯一可信身份标识，用 includes 或正则匹配等于开门揖盗。填错 origin 或漏校验，攻击者嵌入恶意 iframe 就能随意调高音量甚至触发自动播放。
更隐蔽的坑是 muted 状态：即使你设了 audio.volume = 0.8，只要 audio.muted === true，照样没声。
立即学习“前端免费学习笔记（深入）”；
- 子页处理消息时，先执行
audio.muted = false（仅当用户有明确交互意图，比如点过“取消静音”按钮） - volume 设置必须在
loadedmetadata后进行，否则 Safari/部分安卓浏览器会丢弃该值 - 建议子页在初始化时缓存一次
audio.volume初始值，并在每次volumechange事件中更新它，避免父页传来的值被系统策略覆盖后还误以为生效了
用 postMessage 传音量值，别传字符串或百分比
父页发消息时写 { value: "80" } 或 { value: 80 } 都是错的。audio.volume 只认 0.0–1.0 范围内的数字，其他类型会被转成 NaN 或截断为边界值，结果静音。
- 父页发送前必须做归一化：
const safeValue = Math.max(0, Math.min(1, parseFloat(v) / 100)) - 子页接收后不做二次转换，直接赋值：
audio.volume = Number(msg.value)（注意用Number，不是parseInt） - 滑块控件若用
min="0" max="100"，父页就按百分比传；若用min="0" max="1"，就传小数——前后端必须约定一致，不能靠猜测
多个子页共用同一套音量控制时，同步逻辑要收口在父页
如果页面里嵌了两个视频子页（比如主播放器 + 弹幕音效），父页不能分别给每个 iframe 发一遍 postMessage。快速拖动滑块时，两次消息可能异步到达、顺序错乱，导致音量不一致。
- 父页应维护一个单一的
masterVolume（整数 0–100），所有 UI 操作只更新它 - 再统一广播给各 iframe：
iframe.contentWindow.postMessage({ type: 'syncVolume', value: masterVolume }, targetOrigin) - 子页不自行计算，只接收并映射：
audio.volume = msg.value / 100 - 首次加载时，子页可主动向父页请求当前音量：
window.parent.postMessage({ type: 'requestVolume' }, '*')，但父页响应时仍须严格校验event.source和event.origin
