top !== self 不能防嵌入，因跨域时读取 top.location 抛 securityerror，同域时恒为 false；恶意 iframe 加 sandbox="allow-scripts allow-same-origin" 即可绕过；需分层验证、严格 origin 校验、签名验签及合规 sandbox 配置。
为什么 top !== self 不能作为支付页防嵌入的判断依据
因为现代浏览器对跨域 iframe 的 window.top.location 访问会直接抛出 SecurityError，导致该判断在跨域场景下根本无法执行；而同域嵌入时 window.top === window.self 又恒为 true，完全失效。更关键的是，恶意方只需在 iframe 上加 sandbox="allow-scripts allow-same-origin" 就能绕过旧式检测逻辑。
真实生产环境必须分层验证：
- 第一层：尝试读取
window.top.location.href—— 成功且与window.location.href不同 → 同域嵌入 - 第二层：捕获
SecurityError异常 → 跨域嵌入（但需进一步确认是否被恶意 iframe 套壳） - 第三层：检查
document.referrer是否为空或来自不可信域名，结合服务端 UA + IP 指纹交叉验证
postMessage 通信中 origin 校验的硬性要求
支付成功回调消息若未严格校验 event.origin，攻击者可伪造任意来源向主站发送 {type: "payment-success", data: {order_id: "fake123"}}，直接跳过真实支付流程。
正确做法是：
- 只接受明确白名单域名，如
https://pay.alipay.com或https://api.wechat.com，禁止使用通配符* - 校验必须在
message事件回调内完成，不能依赖外部变量或延迟判断 - 收到成功消息后立即调用
window.removeEventListener('message', handler)，防止重复触发 - 消息体必须含签名字段
signature，由支付页用私钥对order_id + timestamp签名，主站用公钥验签
sandbox 属性配置不当会直接导致 PCI DSS 合规失败
若在嵌入第三方支付页时错误启用 allow-same-origin，即使 src 是外部域名，浏览器也会静默丢弃该 token，但配置本身已暴露安全疏忽；更严重的是，若误将支付页设为同源并开启 allow-same-origin，则 localStorage、cookie 等敏感上下文可被父页面读取，彻底破坏支付隔离边界。
生产环境唯一合规组合是：
-
sandbox="allow-scripts allow-popups allow-forms"—— 仅允许脚本执行、弹窗和表单提交，禁用存储、禁用父级访问、禁用跳转顶层 - 绝对不加
allow-same-origin和allow-top-navigation - 必须配合
referrerpolicy="no-referrer"防止支付页获取父页 URL 路径
如何验证 iframe 是否真正受 sandbox 限制
别信文档，打开 DevTools 控制台直接运行测试代码：
const iframe = document.getElementById('payment-iframe');
console.log('sandbox tokens:', iframe.sandbox); // 查看实际生效的 token 列表
console.log('can access localStorage?', () => { try { return !!window.localStorage; } catch(e) { return false; } });
关键验证点：
- 执行
iframe.contentWindow.eval('alert(1)')应抛出DOMException: Blocked a frame with origin ... from accessing a cross-origin frame. - 在 iframe 内尝试
localStorage.setItem('test', '1')必须报SecurityError - 检查
iframe.contentWindow.location.origin—— 跨域 iframe 下应为"null"，而非真实域名
这些细节一旦漏掉，就可能让支付页在看似“安全”的配置下，悄悄泄露 session 或被注入伪造交易请求。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
