加载跨域iframe时未出现"the origin is outside of the top-level site"提示求排查

针对主站https://staging-manabie.lightning.force.com/加载backoffice.*域名iframe后，预期的"the origin is outside of the top-level site"提示未出现的问题，可以从以下方向排查：

• 检查跨域检测逻辑的触发条件

  • 先明确提示是自定义前端逻辑还是Salesforce Lightning内置安全机制触发：
    • 若是自定义JS逻辑，确认是否正确获取了顶层窗口与iframe的origin值，有没有出现null/undefined的异常（比如iframe加载失败、同源策略限制导致无法读取iframe的origin）；同时检查判断条件是否有误，比如误将backoffice.*判定为与主站同源。
    • 若是Salesforce内置提示，查看Lightning站点的CSP（内容安全策略）配置、站点信任设置，是否有规则修改了跨域提示的触发逻辑。

• 验证iframe的实际加载状态

  • 打开浏览器开发者工具，查看控制台是否存在iframe加载错误或CSP相关警告（比如iframe被安全策略阻止加载），这种情况下后续的提示逻辑可能不会执行；
  • 检查网络面板，确认backoffice.*域名的iframe是否成功加载，HTTP状态码是否正常。

• 确认域名同源性的实际判定

  • 主站域名staging-manabie.lightning.force.com与backoffice.*理论上属于跨域，但要排查：
    • 是否通过document.domain设置强制让两者同源（比如主站和iframe都设置了document.domain = 'manabie.com'），此时浏览器会判定为同源，不会触发跨域提示；
    • 是否存在代理或反向代理配置，将iframe的请求转发到主站域下，导致origin被篡改。

• 排查自定义提示的代码问题

  • 若提示是自定义开发的，检查代码是否被意外注释、条件分支是否走了错误路径，或者是否有其他逻辑（比如用户权限、环境判断）覆盖了提示的显示逻辑。

内容的提问来源于stack exchange，提问作者vctqs1