跨域 iframe 无法直接访问 contentWindow 属性，只能通过 postMessage 通信；需严格校验 event.origin、确认 parent 可达性、主动上报加载状态，并设计健壮的消息格式与生命周期管理。
iframe 跨域时 window.contentWindow 拿不到对象怎么办
直接访问跨域 iframe 的 window.contentWindow 会触发浏览器安全限制，读取其属性（如 document、location）会抛出 SecurityError。这不是权限没开，是同源策略硬性拦截，连 try/catch 都捕获不到具体信息，只看到空对象或 undefined。
- 可用
iframe.contentWindow引用 iframe 窗口对象，但仅限调用postMessage，不能读写任何其他属性 - 若 iframe 尚未加载完成，
contentWindow可能为null，需监听load事件后再操作 - Chrome 120+ 对跨域 iframe 的
contentWindow返回一个“代理窗口”，表面不报错，但访问.document仍会静默失败
用 postMessage 发送消息必须检查 origin
接收方不校验 event.origin 就执行逻辑，等于把控制权交给任意网站——恶意页面只要嵌入你的 iframe 就能伪造消息触发操作。
parent.addEventListener('message', function (event) {
// ❌ 危险：未校验来源
if (event.data === 'toggle-ui') { /* 执行敏感操作 */ }
<p>// ✅ 正确：严格匹配白名单 origin
if (event.origin !== '<a href="https://www.php.cn/link/7e3da1dca2700e3225382921dd70b8c7">https://www.php.cn/link/7e3da1dca2700e3225382921dd70b8c7</a>') return;
if (event.data === 'toggle-ui') { /<em> 安全执行 </em>/ }
});-
event.origin是协议 + 域名 + 端口（如https://a.com:8080），不是event.source.location.origin（后者跨域不可读） - 不要用
event.origin.indexOf('example.com') !== -1做模糊匹配，https://evil.example.com也能通过 - 发送方也应指定目标 origin：
iframe.contentWindow.postMessage(data, 'https://target.example.com')，避免被中间页劫持
iframe 内脚本调用 parent.postMessage 前要确认 parent 可达
iframe 页面可能被直接打开（非嵌入），此时 parent === window，调用 parent.postMessage 会向自身发消息，造成逻辑混乱或循环触发。
- 判断是否被嵌入：
if (window.parent !== window)是基础，但不够——还需确认parent是否支持postMessage - 更稳妥方式：
if (window.parent && typeof window.parent.postMessage === 'function') - 若 iframe 来自不同协议（如
http页面嵌入httpsiframe），parent仍可达，但postMessage通信正常，无需额外降级处理
如何让父页面知道 iframe 加载失败或超时
跨域 iframe 不会触发 error 事件，onload 也不可靠（即使加载失败也可能触发）。得靠 iframe 主动上报状态。
立即学习“Java免费学习笔记（深入）”；
// iframe 内脚本
window.addEventListener('DOMContentLoaded', () => {
try {
// 尝试读取一个跨域下必然失败的属性，快速判断是否真跨域
const test = window.parent.document;
parent.postMessage({ type: 'LOAD_SUCCESS' }, '*');
} catch (e) {
parent.postMessage({ type: 'LOAD_FAILED', reason: 'cross-origin-restricted' }, '*');
}
});
<p>// 父页面设超时兜底
const timeoutId = setTimeout(() => {
console.warn('iframe load timeout');
iframe.remove();
}, 10000);- 不要依赖
iframe.onload判断加载成功，它在跨域下常误报 -
postMessage的*目标 origin 在已知可信场景下可用，但生产环境建议明确指定 - 若 iframe 页面本身崩溃或空白（如 404/500），
DOMParsing阶段不会执行，需服务端配合返回最小可用 HTML 并内联初始化脚本
跨域通信真正难的不是发消息，而是设计好消息格式、错误恢复机制和生命周期管理。比如 iframe 重载后旧的 contentWindow 引用就失效了，但父页面可能还在用它发消息——这种细节比语法更常导致线上故障。
