Window.parent.postMessage问题：内嵌iframe无法与父窗口完成握手

嘿，我来帮你捋捋postMessage没收到父窗口响应的几个常见坑，大概率是这几个地方出问题了：

• 目标Origin设置错误
  很多人图方便把targetOrigin设成"*"，但这不仅不安全，还可能被父窗口的安全策略拦截。一定要确保你发送消息时指定的targetOrigin是父窗口的准确域名（比如"https://thirdparty-notice.com"），和父窗口的实际origin完全匹配，消息才会被正常接收。
  错误vs正确示例：

  // 不推荐：可能被拦截
  window.parent.postMessage('handshake', '*');
  // 正确姿势：指定准确的父窗口域名
  window.parent.postMessage('handshake', 'https://thirdparty-notice.com');
  

• 父窗口监听器初始化时机滞后
  你提到通知弹出时会创建新内容，那很可能你的iframe已经发送了握手消息，但父窗口的消息监听器还没完成初始化。这时候可以试试在iframe加载完成后再发送消息，或者加个短延迟，确保父窗口的监听器已经挂载：

  // 等iframe完全加载后再发消息
  window.addEventListener('load', () => {
    window.parent.postMessage('handshake', 'https://thirdparty-notice.com');
  });
  

• 消息格式不符合父窗口预期
  父窗口的监听器可能只认特定结构的消息，比如带type标识的对象，而你发的是纯字符串，导致父窗口直接忽略了。比如父窗口可能期望这样的消息：

  // 父窗口预期的消息结构
  window.parent.postMessage(
    { type: 'iframe-handshake', appId: 'your-app-id' },
    'https://thirdparty-notice.com'
  );
  

  最好确认下父窗口的消息协议，调整自己的消息格式。

• 跨域安全限制拦截
  打开浏览器控制台看看有没有类似Blocked a frame with origin "xxx" from accessing a cross-origin frame的错误提示。如果有，要么是父窗口的CSP（内容安全策略）没允许你的域名，要么是浏览器的安全设置拦截了跨域消息，这时候需要和第三方应用方确认安全配置。

• 父窗口引用错误
  你猜测通知会创建新内容，说不定这个通知是一个独立的弹窗窗口，而不是当前iframe的直接父窗口？这种情况下window.parent就不是正确的目标，你可能需要用window.opener或者找到通知窗口的正确引用对象来发送消息。

内容的提问来源于stack exchange，提问作者bird