防止子级iframe脚本的父级DOM操作

Question

我有一个页面包含框架内同一域上的另一个页面。是否有可能防止框架页面中的脚本可以操纵首页DOM（例如添加元素或脚本）？

Answer 1

你可以与摆脱“危险”的功能，但节省匿名引用他们像实验..

(function(){ 
    var hiddenrefs = {}; 

    hiddenrefs.dGetElementById = document.getElementById; 
    document.getElementById = null; 
})(); 

等。然而，这将是一件非常繁琐的工作，而且无论如何都会失败。如果这是试图让用户在iframe内的受控环境中运行Javascript，那么这是一种误导性的安全形式。 iframe可以发布top.location = "http://www.myevilpage.com"，在这种情况下，无论如何它都会为你游戏。 （即使有不同的域名也是如此，iframe仍然可以重定向用户和各种讨厌的东西，即使严格来说也不能访问父级的DOM。）让用户运行JS代码永远不会安全，没有过滤恶意代码的源代码，甚至过滤它也相当不安全，因为它很容易绕过过滤。许多人已经尝试过，许多人失败了。我建议不要让用户运行Javascript，永远。

Answer 2

最好的解决方案可能是在iframe上使用HTML5沙箱属性，该属性默认情况下会显式禁用对父DOM的脚本和同源访问。

请参阅http://msdn.microsoft.com/en-us/hh563496.aspx