iframe 跨域验证调用者

Question

我在 A.com 上有一个页面，其中有一个 iframe，其 "src=" 在 B.com 上。 例如src="http://B.com/index.asp?123456"

查询字符串123456 是分配给域A.com 的客户端密钥。 index.asp 使用密钥进行数据库查找以识别域。

我如何确保拨打电话的是A.com 上的一个页面？

我考虑过通过location.host，但这可能会被黑客入侵。 也就是说，C.com 可以说：通过将location.host 更改为B.com，它是B.com。

（显然，location.host 是通过 JavaScript 确定的。）

A.com 上可以有其他 HTML 代码，而不仅仅是 iframe。

Answer 1

您可以使用 postMessage 并验证事件对象的来源。但您不应依赖任何涉及安全性的客户端验证。只需在任何开发者工具中的 post 消息回调上添加一个断点就可以轻松绕过此方法。