如何从iframe内部安全获取父窗口下同域名的所有iframe节点？

你当前使用的try-catch过滤方案本身是安全合规的，不存在额外安全风险：浏览器同源策略已经完全拦截了跨域iframe的属性读取操作，catch块仅用于捕获浏览器主动抛出的安全异常，不会泄露任何跨域页面的隐私信息，同时该方案兼容性最好、代码实现最简单，没有特殊需求可以直接沿用。

如果需要更优雅的实现，可以参考以下两种优化方案：

优化现有try-catch逻辑 #

将host对比改为origin对比，覆盖协议、域名、端口三个同源判断维度，避免出现http/https同域名跨域的判断错误：

function isSameOriginFrame(frame) {
  try {
    return window.location.origin === frame.location.origin;
  } catch (e) {
    return false;
  }
}

// 筛选所有同域iframe
const sameDomainFrames = Array.from(window.parent.frames).filter(isSameOriginFrame);

方案1：postMessage主动探测（无需父页面配合，全量兼容现代浏览器） #

通过浏览器跨域通信机制实现无异常判断，不需要依赖错误捕获，逻辑更可控：

1. 先在所有domain1的页面中加入统一的探测响应逻辑：

window.addEventListener('message', e => {
  // 仅响应同域的探测请求
  if (e.origin !== window.location.origin || e.data?.action !== 'checkSameDomain') return;
  e.source.postMessage({
    action: 'sameDomainConfirm',
    frameIndex: Array.from(window.parent.frames).indexOf(window)
  }, window.location.origin);
});

2. 在需要筛选同域iframe的页面中发起探测：

const sameDomainFrames = [];
const allFrames = window.parent.frames;

// 监听同域页面的响应
window.addEventListener('message', e => {
  if (e.origin !== window.location.origin || e.data?.action !== 'sameDomainConfirm') return;
  sameDomainFrames.push(allFrames[e.data.frameIndex]);
});

// 向所有父级iframe发送探测消息，仅同域iframe能收到
for (let i = 0; i < allFrames.length; i++) {
  allFrames[i].postMessage({ action: 'checkSameDomain' }, window.location.origin);
}

方案2：父页面预标记（仅适用于父页面与domain1同源的场景） #

如果有权限修改父页面代码，直接给同域iframe添加自定义属性标记，筛选性能最高，无需额外判断：
父页面代码：

<!-- domain 1 frames -->
<iframe src="domain1/page1.html" data-group="domain1">
<iframe src="domain1/page2.html" data-group="domain1">

<!-- domain 2 frames -->
<iframe src="domain2/page1.html" data-group="domain2">

子页面筛选逻辑：

// 仅父页面和domain1同源时可正常读取父页面DOM
const sameDomainFrames = Array.from(
  window.parent.document.querySelectorAll('iframe[data-group="domain1"]')
).map(iframeEl => iframeEl.contentWindow);

内容的提问来源于stack exchange，提问作者Zeeshan