答案：通过 iframe 结合 postMessage 可实现轻量级微前端方案，适用于跨域、技术栈异构及强隔离场景。主应用用 iframe 嵌入子应用并利用 postMessage 通信，需校验 origin 防 XSS，统一消息格式，处理高度自适应与路由同步问题，适合中小型项目。
微前端架构的核心思想是将一个大型前端应用拆分成多个独立的子应用，每个子应用可以独立开发、部署和运行。虽然现代微前端多使用模块联邦或容器化方案，但通过 iframe 结合 postMessage 也能实现一种轻量、隔离性强的微前端方案，尤其适合跨域、技术栈差异大或需要强隔离的场景。
使用 iframe 实现微前端的基本结构
iframe 能够嵌入另一个网页，并与主页面保持 JavaScript 和 CSS 的隔离，天然具备沙箱特性。
主应用中通过 iframe 加载子应用：
<div id="micro-app-container"><iframe
id="sub-app"
src="https://subapp.example.com"
style="width:100%; height:600px; border:0;"
></iframe>
</div>
这样主应用就成功加载了子应用。但由于同源策略限制，主应用无法直接操作子应用的 DOM 或 JS，需使用 postMessage 进行通信。
立即学习“前端免费学习笔记（深入）”；
使用 postMessage 实现跨文档通信
HTML5 提供的 window.postMessage 方法允许不同源的窗口之间安全地传递数据，是 iframe 微前端通信的关键。
主应用向子应用发送消息：
const iframe = document.getElementById('sub-app');
// 等待 iframe 加载完成
iframe.onload = function () {
const message = { type: 'INIT_DATA', data: { user: 'Alice' } };
// 发送消息到子应用
iframe.contentWindow.postMessage(message, 'https://subapp.example.com');
};
子应用监听来自主应用的消息：
window.addEventListener('message', function (event) {
// 安全检查：验证来源
if (event.origin !== 'https://mainapp.example.com') return;
const data = event.data;
if (data.type === 'INIT_DATA') {
console.log('收到主应用数据:', data.data);
// 初始化子应用逻辑
}
});
子应用也可以回传消息给主应用：
// 子应用中发送状态更新
window.parent.postMessage(
{ type: 'USER_LOGIN', user: 'Bob' },
'https://mainapp.example.com'
);
主应用监听子应用消息：
window.addEventListener('message', function (event) {
if (event.origin !== 'https://subapp.example.com') return;
if (event.data.type === 'USER_LOGIN') {
console.log('子应用登录用户:', event.data.user);
// 更新主应用状态
}
});
实际应用场景与注意事项
这种架构适用于以下场景：
- 子应用由不同团队维护，部署在不同域名下
- 需要严格的样式和脚本隔离，避免冲突
- 主应用为门户型平台，集成多个独立系统（如报表、客服、订单）
需要注意的问题包括：
- 必须校验 event.origin，防止 XSS 攻击
- 消息格式建议统一规范，如包含 type、data、source 字段
- iframe 高度自适应、loading 状态、错误兜底需额外处理
- 不支持浏览器前进后退同步，需自行管理路由状态
基本上就这些。用 iframe + postMessage 做微前端虽然简单，但通信是异步的，调试稍复杂，适合中小型项目或对隔离性要求高的系统。关键是设计好通信协议，保证稳定和可维护性。
