如何访问其他页面全局声明式环境记录中的项（若可行）

首先明确前提：只有当iframe与父页面同域（或已通过跨域配置允许父页面访问iframe的window对象）时，才有可能实现——浏览器的同源策略会完全阻止跨域情况下的此类访问，这是无法绕过的安全限制。

对于用let/const声明的全局变量或class，它们确实不会挂载到全局window对象上，而是存在于全局声明式环境记录中。要在父页面访问这些变量，目前唯一可行的无侵入方案是利用iframe.contentWindow.eval()：

示例代码 #

iframe页面代码

class MyClass {
  constructor() {
    this.value = 42;
  }
}

const TEST_CONST = 'foo';
let testLet = 'bar';

父页面代码

const iframe = document.getElementById('frameID');

// 读取iframe中的class
const MyClass = iframe.contentWindow.eval('MyClass');
const instance = new MyClass();
console.log(instance.value); // 输出42

// 读取const和let变量
const testConst = iframe.contentWindow.eval('TEST_CONST');
const testLet = iframe.contentWindow.eval('testLet');
console.log(testConst, testLet); // 输出foo bar

关键限制 #

1. CSP限制：如果iframe页面的内容安全策略（CSP）未允许unsafe-eval，eval()会被浏览器阻止，此方法失效。
2. 同源策略：跨域场景下，即使配置了CORS，也无法访问iframe的contentWindow执行eval，这是浏览器的核心安全机制。
3. 无其他原生API：ECMAScript规范并未暴露全局声明式环境记录的访问接口，因此没有不依赖eval的原生方法可以直接读取这些变量。

针对你的工具场景 #

作为无侵入测试工具，eval()是目前唯一能不修改被测页面代码的方案。如果用户遇到CSP阻止的情况，可能需要提示用户临时调整CSP规则，或说明当前环境下无法访问此类变量（除非采用他们目前用的var MyClass = class {}侵入式变通方案）。

内容的提问来源于stack exchange，提问作者Carl Colijn