从Gmail打开的子窗口中window.top.opener在各浏览器为null/undefined求助

这个问题我之前帮朋友排查过，本质是Gmail的安全隔离策略在搞事情，不是你的代码问题，也不是浏览器的BUG~

为什么会出现这种情况？ #

• Gmail为了防止外部页面获取主窗口引用、窃取敏感信息，会对通过它打开的子窗口做严格的上下文隔离。这种隔离会导致子窗口无法正常访问window.top.opener，不同浏览器对“无法访问”的返回值处理存在差异：IE返回undefined，Firefox返回null。
• 其他普通网站没有这种级别的安全限制，所以子窗口能正常拿到opener的值。

可行的解决方案 #

因为这是Gmail的安全机制，没办法直接绕过获取opener引用，只能换思路处理：

1. 通过URL参数传递必要数据 #

如果是你控制子窗口的打开逻辑，把需要传递给子窗口的信息放在URL的查询参数里，比如：

// 在Gmail页面中打开子窗口时（如果是你能触发的操作）
window.open('https://你的子窗口地址?userInfo=xxx&token=yyy', '_blank');

然后在子窗口里读取参数：

// 子窗口代码
const params = new URLSearchParams(window.location.search);
const userInfo = params.get('userInfo');
const token = params.get('token');

这种方式完全不依赖opener，是最稳妥的方案。

2. 用postMessage尝试通信（仅适用于你能控制主窗口的场景） #

如果主窗口是你自己的页面（不是Gmail），可以用postMessage跨上下文通信，但Gmail不会监听你的自定义消息，所以这个方法对Gmail场景无效。不过还是给你贴个示例，方便你其他场景使用：

// 子窗口发送消息
if (window.top?.postMessage) {
  window.top.postMessage('我是子窗口发来的消息', 'https://你的主窗口域名'); // 尽量指定具体域名，不要用*，更安全
}

// 主窗口监听消息
window.addEventListener('message', (event) => {
  // 验证消息来源，防止恶意消息
  if (event.origin !== 'https://你的子窗口域名') return;
  console.log('收到子窗口消息:', event.data);
});

3. 调整业务逻辑，不依赖opener #

如果以上方法都不适用，那只能考虑修改业务流程，去掉对opener的依赖，毕竟Gmail的安全限制是无法突破的。

内容的提问来源于stack exchange，提问作者chitra