本文介绍一种基于 postmessage 的安全、可靠方式，使 iframe 根据其内部文档实际尺寸动态调整高度（及宽度），避免滚动条，同时严格遵循同源策略与跨域通信规范。
在 Web 开发中，iframe 常用于嵌入第三方内容或隔离页面模块。但一个常见痛点是：iframe 无法自动适配子页面内容高度——若内容高度变化（如搜索结果增多、折叠面板展开），固定高度的 iframe 会触发内部滚动条，影响用户体验和视觉一致性。
关键在于：iframe 本身无法主动控制自身尺寸，其宽高完全由父页面 DOM 属性（width/height）或 CSS 决定。尤其当 iframe 指向跨域资源时，浏览器出于安全限制（同源策略），禁止父页直接访问子页 DOM（如 iframe.contentDocument），因此传统 scrollHeight 读取方式失效。
✅ 正确解法是采用 跨域安全通信机制 window.postMessage：由子页面（iframe 内容页）主动测量自身文档尺寸，并向父页面发送结构化消息；父页面验证来源后，动态更新 iframe 元素属性。
✅ 实现步骤（双端协同）
1. 父页面（parent.html）：监听并响应尺寸消息
主页面内容
2. 子页面（myframe.html，位于 iframe 源域）：测量并上报尺寸
结果列表：...
⚠️ 重要注意事项
- Origin 必须精确匹配：postMessage 的 targetOrigin 参数（子页发送时）和 event.origin（父页校验时）需完全一致（含协议、域名、端口），不可使用 "*"（存在 XSS 风险）。
- 尺寸测量要健壮：优先取 documentElement 和 body 的 scrollWidth/Height 最大值，兼容不同渲染模式。
- 响应式增强：若子页支持响应式设计，建议在 resize 事件中节流（如 debounce(100ms)）避免频繁重绘。
- 降级处理：父页应保留合理默认高度（如 min-height: 400px），确保 JS 失效时仍可基本浏览。
通过该方案，你既能实现 iframe 的“无感自适应”，又完全符合现代浏览器安全模型——无需服务端代理，不依赖 jQuery，原生 JavaScript 即可开箱即用。
