好的，我有一个页面在这个页面上有一个iframe。我需要做的是在iframe页面上，找出主页面的URL是什么。
我四处搜索，我知道这是不可能的，如果我的iframe页面是在不同的域，因为这是跨站脚本。但我读过的所有地方都说，如果iframe页面与父页面在同一个域上，它应该工作，例如:
parent.document.location
parent.window.document.location
parent.window.location
parent.document.location.href
…或者其他类似的组合，因为似乎有多种方法可以获得相同的信息。
不管怎样，问题来了。我的iframe与主页在同一个域上，但不是在同一个SUB域上。举个例子
http:// www.mysite.com/pageA.html
然后我的iframe URL是
http:// qa-www.mysite.com/pageB.html
当我试图从pageB.html (iframe页面)抓取URL时，我一直得到相同的访问拒绝错误。因此，即使子域也可以算作跨站脚本，这是正确的，还是我做错了什么?
对于同一域和不同子域上的页面，可以设置文档。通过javascript的域属性。
父帧和iframe都需要设置它们的文档。域是指它们之间共有的东西。
即。
www.foo.mydomain.com和api.foo.mydomain.com都可以使用foo.mydomain.com或只使用mydomain.com，并且是兼容的(不，出于安全原因，你不能将它们都设置为com…)
另外，请注意文档。领域是一条单行道。考虑按顺序运行以下三条语句:
// assume we're starting at www.foo.mydomain.com
document.domain = "foo.mydomain.com" // works
document.domain = "mydomain.com" // works
document.domain = "foo.mydomain.com" // throws a security exception
现代浏览器也可以使用window。postMessage用于跨起源对话，但它在IE6中不起作用。
https://developer.mozilla.org/en/DOM/window.postMessage
假设你要告诉父页面如何设置iframe，以轻松但不安全的方式获得包含路径和URL参数的完整URL，在指定iframe时包含referrerpolicy=" not - safe- URL ":
<iframe src="https://example.com/innersite" referrerpolicy="unsafe-url" title="My Title"></iframe>
然后你可以得到完整的原始URL:
document.referrer
许多其他答案只有当iframe src与父域相同时才有效。
Fallbacks:
如果存在安全问题，您可以像https://stackoverflow.com/a/5697801/1226799所说的那样进行回退，其中父节点在iframe URL的URL参数中显式地发送其URL，但攻击者可以很容易地伪造这一点。
我相信您还可以使用消息传递并检查事件的起源:https://stackoverflow.com/a/61548595/1226799
