多层iframe嵌套时window.parent传参失败，因跨域下只读、同域下引用易失效、不区分层级且无法穿透；必须逐层postMessage中转，每层校验origin、监听message、检查contentWindow，并分段清洗敏感数据。
多层iframe嵌套时，直接用window.parent传参为什么总失败
因为跨域下window.parent是只读对象，无法访问其contentWindow或执行方法；同域下虽可读写，但若中间某层 iframe 动态切换过 src 或被移除，window.parent 引用可能已失效。更关键的是：**它不区分层级**——window.parent.parent 在三级嵌套中看似能跳到顶层，但一旦嵌套结构变化（比如被客户平台二次嵌入），就会指向错误上下文。
常见错误现象：Uncaught TypeError: Cannot read property 'postMessage' of null 或静默无响应。这不是代码写错，而是引用链断裂。
- 不要在孙级 iframe 里写
window.parent.parent.postMessage() - 避免依赖
document.referrer或 URL 路径判断“谁是父级”——易伪造且不可靠 - 主应用启动时应主动设标识，如
window.__PLATFORM_ROOT__ = true，子 iframe 沿window.parent最多向上查 3 层找该标识，查到即停
postMessage 在三级嵌套中必须手动中转，不能省略任何一层
浏览器不会自动把消息从父页“穿透”到孙 iframe。父页发给子 iframe 的消息，子 iframe 不会自动再发给它的子 iframe。你必须在每一层显式监听、校验、转发。
典型错误是：子 iframe 收到消息后没注册 message 监听器，或监听了但没调用 childIframe.contentWindow.postMessage() 转发，结果孙 iframe 根本收不到。
立即学习“前端免费学习笔记（深入）”；
- 每层 iframe 必须在自身全局作用域尽早执行
window.addEventListener('message', handler)，不能等DOMContentLoaded之后 - 转发时，
targetOrigin必须填**下一层的实际 origin**，例如子 iframe 是https://platform.com，孙 iframe 是https://widget.com，那子 iframe 转发时就得写'https://widget.com'，不能复用上层的event.origin - 转发前必须检查目标 iframe 元素的
contentWindow是否存在且非null，动态创建的 iframe 还要等load事件触发后再发
如何安全地把参数从顶层传到孙 iframe，又不暴露原始凭证
直接透传 token、userId 等敏感字段是高危操作。中继层（如子 iframe）不应成为“透明管道”，而应承担清洗和换签职责。
正确做法是分段可信：祖辈只信任子 iframe，子 iframe 只信任孙 iframe，彼此用各自白名单的 event.origin 和精确的 targetOrigin 校验。
- 父页发送初始化数据时，带签名和短期 nonce，如
{ type: 'INIT', payload: { tempTicket: 'abc123', expires: 1724626800 } } - 子 iframe 收到后验证签名和时效，剥离明文用户信息，重新封装为仅对孙 iframe 有效的上下文，如
{ from: 'platform', to: 'widget', data: { sessionId: 'sess-xyz' } } - 所有消息必须含
traceId字段用于日志追踪，但不可用于权限判定
沙箱（sandbox）属性会让所有传统传参方式彻底失效
如果任意一层 iframe 声明了 sandbox（哪怕只是空值 sandbox=""），window.parent、window.top、document.domain 全部不可用——无论是否同源。此时，postMessage 是唯一合规通信方式。
常见误判是：以为父 iframe 加了 sandbox="allow-scripts" 就等于子 iframe 也能执行 JS。其实沙箱不继承，子 iframe 若没自己声明 allow-scripts，JS 就不会执行，自然也注册不了 message 监听器。
- 每层 iframe 都必须独立配置
sandbox属性，需要脚本就加allow-scripts，需要表单提交就加allow-forms -
event.origin为'null'（如srcdoc或about:blank初始化）时，必须用严格相等e.origin === 'null'判断，不能用includes或== - 禁用
allow-same-origin——它只在当前 iframe 与**直接父页面**严格同源时生效，不向上穿透，多层嵌套中极易失效且引入 XSS 风险
