防止子級iframe腳本的父級DOM操作

Question

我有一個頁面包含框架內同一域上的另一個頁面。是否有可能防止框架頁面中的腳本可以操縱首頁DOM（例如添加元素或腳本）？

Answer 1

你可以與擺脫「危險」的功能，但節省匿名引用他們像實驗..

(function(){ 
    var hiddenrefs = {}; 

    hiddenrefs.dGetElementById = document.getElementById; 
    document.getElementById = null; 
})(); 

等。然而，這將是一件非常繁瑣的工作，而且無論如何都會失敗。如果這是試圖讓用戶在iframe內的受控環境中運行Javascript，那麼這是一種誤導性的安全形式。 iframe可以發佈top.location = "http://www.myevilpage.com"，在這種情況下，無論如何它都會爲你遊戲。 （即使有不同的域名也是如此，iframe仍然可以重定向用戶和各種討厭的東西，即使嚴格來說也不能訪問父級的DOM。）讓用戶運行JS代碼永遠不會安全，沒有過濾惡意代碼的源代碼，甚至過濾它也相當不安全，因爲它很容易繞過過濾。許多人已經嘗試過，許多人失敗了。我建議不要讓用戶運行Javascript，永遠。

Answer 2

最好的解決方案可能是在iframe上使用HTML5沙箱屬性，該屬性默認情況下會顯式禁用對父DOM的腳本和同源訪問。

請參閱http://msdn.microsoft.com/en-us/hh563496.aspx