Как страницы и iframe обмениваются сообщениями?

Question

Accepted Answer

## `postMessage`

Родитель и iframe (в т.ч. cross-origin) общаются через `postMessage`. Безопасно только если:

1. отправитель указывает **точный** target origin (не `"*"` в чувствительных сценариях);
2. получатель проверяет `event.origin`, обычно `event.source` и форму `event.data`.

```js
// parent
const iframe = document.querySelector("iframe");
iframe.contentWindow.postMessage("Hello from parent", "https://widget.example");

// iframe
window.addEventListener("message", (event) => {
  if (event.origin !== "https://parent.example") return;
  if (event.source !== window.parent) return;
  console.log(event.data);
});
```

---

## Риски

Игнор проверки origin → чужой фрейм может слать команды. Не выполняйте строки из `data` как код.

**Итог:** `postMessage` — мост между контекстами; origin/source/схема данных — обязательная часть ответа на собеседовании.