IFrame 安全性和 CORS

Question

我有一个一般性问题，我正在尝试获取一些信息。

我有一个服务器，在这个服务器上我有一个提交给 API 的网络表单。

第三方公司有一台服务器，他们需要托管我的表单。因此，他们将我的表单 IFrame 到他们的页面中。

第三方公司是否有任何可能的方式来获取输入到 iframe 中包含的表单中的数据？他们的 Apache 日志会记录数据吗？他们可以在服务器上做一些事情来帮助他们获取数据吗？

我的服务器是安全的，它不会允许 CORS 或类似的东西。问题是他们是否可以做任何事情来获取输入的数据？

Answer 1

否则无法访问 iframe 的内容，因为它不在他们的域中。

是的他们可以欺骗用户窃取输入：显示看起来像您的 iframe 但受他们控制的内容，或使用Clickjacking。

而且，如果他们使用 http，即使您的 iframe 使用 https，攻击者也可以这样做并窃取他们的数据。