跨域 iframe 事件无法穿透到父页面，因同源策略隔离其 DOM 和事件流；唯一安全方案是 postMessage 通信，需校验 event.origin；同域下可直接访问 contentDocument 并正常使用事件机制。
iframe 跨域时，父页面无法直接捕获其内部事件，这是浏览器同源策略强制实施的安全隔离，不是事件机制本身的问题——捕获和冒泡在跨域 iframe 内部照常运行，但它们被严格限制在 iframe 自身的浏览上下文中，不会穿透到父页面 DOM 树。
跨域 iframe 的事件完全不冒泡也不捕获到父页面
即使你在父页面给包含 iframe 的 div 绑定了 click 或 mousedown 事件（无论用 true 捕获还是 false 冒泡），只要鼠标落在 iframe 可视区域内，这些监听器根本不会触发。这是因为：
- iframe 是独立的 document 和 window，拥有自己的事件循环和 DOM 树
- 跨域情况下，父页面对 iframe 内容无读写权限，连
iframe.contentWindow都被拒绝访问 - 事件传播路径只存在于单个文档内；跨文档边界（尤其是跨域）时，事件流被主动截断
可行的替代方案：postMessage 通信机制
唯一被浏览器原生支持、安全且通用的跨域 iframe 事件传递方式是 window.postMessage。它不依赖 DOM 事件流，而是通过异步消息通道实现双向通信：
- iframe 内部脚本检测用户操作（如点击、输入、滚动），调用
parent.postMessage(data, targetOrigin) - 父页面监听
window.addEventListener('message', handler)，解析并响应消息 - 必须校验
event.origin防止伪造来源，推荐使用精确匹配而非通配符'*'
同域 iframe 可以正常使用事件机制
如果 iframe 与父页面同源（协议、域名、端口全等），则一切 DOM 事件行为回归标准模型：
立即学习“Java免费学习笔记（深入）”；
- 父页面可直接访问
iframe.contentDocument或iframe.contentWindow - 可在 iframe 内部元素上绑定事件监听器，也可在父页面中为 iframe 元素本身监听
load等生命周期事件 - iframe 内部的事件仍按“捕获→目标→冒泡”三阶段执行，但仅限其自身文档树内
视觉遮罩层 + 伪事件监听（仅限 UI 层级需求）
若只需感知“用户是否在 iframe 区域上发生了点击”，而无需知道具体位置或内容，可临时叠加一层透明遮罩层（如绝对定位的 div 盖在 iframe 上），监听该遮罩层的事件。但需注意：
- 会阻断 iframe 原有交互，需配合
pointer-events: none让点击穿透到 iframe，再靠postMessage回传 - 不能获取 iframe 内部坐标、target 元素或原始事件对象细节
- 仅适用于简单状态反馈类场景，非真正意义上的事件捕获
