javascript - iframe 安全 postmessage 劫持

Question

如果来自 URL X 的父级将 iframe 加载到 URL Y.. 父级可以使用Window/postMessage与子框架对话。

但是，如果父级还加载了第 3 方 js 片段 - 例如谷歌分析......如何阻止第 3 方将 javascript 注入父级然后定位上述 iframe 以通过 postmessage API 发送内容？

标签： javascriptiframe

Answer 1

绝对没有。

如果网页加载了第三方 JS，那么它就赋予该 JS 对页面执行环境的完全访问权限，包括发送标记为源自该页面的跨域消息的能力。

不要加载不受信任的第三方 JS。