使用window.parent.postMessage()发送非敏感数据时，是否必须指定targetOrigin？

我使用以下代码向外部网站发送非私密/非敏感数据（消息内容为iframe应设置的高度，并非用户信息等敏感内容）：

window.parent.postMessage(message, '*')

我的当前理解 #

将targetOrigin设为'*'意味着任何网站都可以拦截该message。
由于我的场景中message并非敏感数据，因此尽管这不是最佳实践，但不会直接带来安全风险。
我必须格外注意，未来切勿通过该消息发送敏感数据。只要我始终保持谨慎，这种方法在技术层面就完全安全（尽管并非最佳实践）。

请问我的理解是否正确？

你的理解大体正确，但有几个关键细节需要明确：

• 没错，targetOrigin设为'*'确实会允许任何域名接收这条消息，但因为你传输的是iframe高度这类无敏感属性的数据，当前场景下不会直接引发安全问题。
• 这种做法确实属于非最佳实践，核心隐患不在于当下，而在于后续维护：依赖“始终保持谨慎”的人为约束风险很高，一旦后续代码迭代中不小心将敏感数据通过这个逻辑发送，就会直接造成信息泄露。
• 从技术安全性来说，当前场景下这种用法没有直接风险，但从工程规范角度，明确指定目标域名才是更稳妥的方案——从技术层面锁死接收方，彻底杜绝后续误操作带来的风险。

内容的提问来源于stack exchange，提问作者stevec