javascript - 是否可以有选择地限制 iframe 对其父文档的访问？

Question

情况

我有一个我控制的静态文档(文档 A)，其中包含一个加载另一个我无法控制的文档(文档 B)的 iframe。两个文档均由我“拥有”，并且它们托管在同一域中，实际上位于同一服务器上。

我的问题

我可以限制文档 B 对文档 A 的编程范围的访问吗？我想向 B 公开 A 的一些变量和函数，但不提供对父窗口等的全面访问。

等等

我知道通过沙箱属性，我能够对父窗口访问进行粗略的安全限制，但我正在寻找的是提供访问的策略适用于某些 javascript 对象，但不适用于其他对象。这不是关于 XSS 或域限制的问题。正如我所说，所有这些文件都位于同一服务器上，并且域不存在问题。

Answer 1

这实际上取决于您想要允许什么以及您想要对其他框架隐藏什么。您可以通过将大部分代码和函数放入一个巨大的闭包中来隐藏它们。其他代码，即使是同源的，也无法到达闭包内部来访问您的代码或变量。然后，您可以将所需的任何函数/方法公开为全局函数，并且这些函数可以提供对对象的有限访问。

// closure to protect code from tampering
(function() {
    // code in here can't be messed with from outside the closure

    // this method can be called from the outside
    // This function (when called) can return objects from withing the closure 
    // or modify objects within the closure
    window.publicFunc1 = function() {
    };
})();

您无法控制从另一个框架对 DOM 的访问。如果它们位于同一源，则它可以完全访问另一个框架的 DOM。

如果您控制某些基础设施，则可以创建一个技术上指向同一服务器的子域，然后您可以从子域加载页面并从主域加载另一个框架(反之亦然)。由于跨源保护，这将为您提供真正的保护，并且您可以使用消息传递仅以受控方式进行通信。