【发布时间】：2020-10-01 18:24:50
【问题描述】：
如果来自 URL X 的父级将 iframe 加载到 URL Y.. 父级可以使用 Window/postMessage 与子框架对话。
但是，如果父级还加载了第 3 方 js sn-p - 例如谷歌分析...如何阻止第 3 方将 javascript 注入父级，然后针对上述 iframe 通过 postmessage API 发送内容？
【问题讨论】：
标签： javascript iframe
【发布时间】：2020-10-01 18:24:50
【问题描述】：
什么都没有。
如果网页加载了第三方 JS，那么它会赋予该 JS 对页面执行环境的完全访问权限，包括发送标记为源自该页面的跨域消息的能力。
不要加载不受信任的第三方 JS。
【讨论】：