父页面与同域子页面安全通信：巧妙传递window对象信息
在使用iframe嵌套子页面时，跨域通信常常困扰着开发者。本文聚焦于一个常见场景：父页面和子页面位于同一域名下，父页面希望在不修改子页面代码的前提下，安全地与子页面共享部分window对象信息（例如，访问父页面的某些方法或属性）。这在hybrid应用中，子页面需要与原生应用交互时尤为重要。
直接将父页面的window对象传递给子页面是行不通的，浏览器出于安全考虑会阻止此操作。那么，有哪些替代方案呢？
对于简单的字符串或数值型数据传递，URL参数或查询字符串是便捷的选择。然而，对于更复杂的通信需求，例如传递对象或实现双向交互，postMessage API是更理想的解决方案。postMessage API允许同域或跨域页面之间安全地交换信息。父页面可通过iframe.contentWindow.postMessage()方法向子页面发送消息，子页面则监听message事件接收消息。这种方法既灵活又安全，适合各种复杂的通信场景。
需要注意的是，直接赋值父页面的window对象始终不可行，这会违反浏览器的安全机制。为了防止恶意代码通过iframe获取父页面资源，浏览器会阻止此类操作。因此，开发者应选择合适的替代方案，例如URL参数、查询字符串或postMessage API，来实现父页面与子页面间的安全可靠通信。
