top.location.href 可以跨域跳转吗

[wico97]

如果在 iframe 页面里使用 top.location.href, 不同域的情况下能让 top 页面发生跳转吗

[lslqtz]

href 应该可以跨域吧。。iframe 跨域跳转了数据就不知道了

[gamexg]

可以，为了防止被人嵌套就是用这个做强制跳转的。

[wico97]

@gamexg http://jsfiddle.net/ppkzS/ 请问这个为啥不起作用

[gamexg]

我的错误，top.location 已经在去年被禁用了。

https://groups.google.com/a/chromium.org/forum/#!msg/blink-dev/Xi8-y4ySjA4/dc4BFfqyBQAJ

[wico97]

@gamexg 还有其他方法来实现 top.location.href 的功能吗

[codehz]

@wico97 用 postMessage 手动传消息，然后最外层页面处理。。。这个保证可以跨域

[wico97]

@codehz 但如果我的本意不想让别人 iframe 我的网站，最外层不会处理我的请求呀。postMessage 只适合于我有权限修改最外层的代码的情况

[codehz]

@wico97 #7 别人也不让想你改地址啊。。。。

[SakuraKuma]

既然只是想别人不 iframe 自己，为何不 top.window === window 判断呢？

[codehz]

@wico97 话说除了 9 楼的方案，还可以在响应头里加上 X-Frame-Options: SAMEORIGIN 来解决，当然最好是双管其下，因为两种方案都有绕过的可能性，9 楼的方案可以通过禁止 iframe 脚本加载来绕过。。。