推荐用 window.parent.postMessage 传 JSON，父页监听 message 事件接收；因 layer.close 回调不接收子页数据，getChildFrame 受同源和时机限制，轮询方案脆弱不可靠。
layer.open 打开的子页面怎么把 JSON 对象传回父页面
直接用 window.parent + 自定义事件是最稳妥的方式，layer.getframeindex 和 layer.close 本身不支持传参，强行塞进 layer.close 的回调参数里会丢失嵌套结构或引发类型错误。
为什么不能靠 layer.close 的回调参数传复杂对象
layer.close 的回调函数（如 yes 或 end）只在关闭时触发，不接收子页传入的数据；而 success 是打开后立即执行的，此时子页 DOM 可能还没加载完，更无法读取子页变量。试图用 layer.getChildFrame 在父页主动取值，又受限于跨 iframe 的 DOM 访问策略（同源才可行）和时机问题（子页 JS 可能未执行完毕）。
-
layer.getChildFrame返回的是iframe.contentWindow.document，不是子页 JS 上下文，拿不到var data = {...}这样的局部变量 - 子页若用
layui.use异步加载模块，parent.layer.getChildFrame立即访问很可能读到undefined - 不同浏览器对 iframe 跨域限制不一致，即使同源，部分版本也会报
Blocked a frame with origin ... from accessing a cross-origin frame
推荐做法：子页用 window.parent.postMessage 发送，父页监听 message
这是唯一能可靠传递任意 JSON（含函数以外的所有类型，如 Date、RegExp、嵌套对象、数组）的方式，且天然支持跨域（需校验 event.origin）。
子页（iframe 内）发送：
// 子页 JS 中
const result = {
userId: 123,
tags: ["admin", "vip"],
profile: { name: "张三", joined: new Date() }
};
// 注意：new Date() 会被序列化为字符串，这是正常行为
window.parent.postMessage({ type: "LAYER_DATA_SUBMIT", data: result }, "*");
// 生产环境建议把 "*" 换成父页确切 origin，如 "https://yourdomain.com"
父页（调用 layer.open 的地方）监听：
// 父页 JS 中，在 layer.open 前或后注册一次即可
window.addEventListener("message", function(event) {
// 安全校验：确保消息来自自己的子页
if (event.source !== window || event.data.type !== "LAYER_DATA_SUBMIT") return;
console.log("收到子页数据：", event.data.data);
// 此处可操作 data，比如赋值给表单、更新列表、关闭弹层等
layer.close(layerIndex); // 如果需要自动关闭
});
注意：layer.open 返回的索引 layerIndex 需提前保存，例如：
const layerIndex = layer.open({
type: 2,
content: "child.html",
area: ["600px", "400px"]
});
如果必须用 layui 自带机制，只能走全局变量 + 定时轮询（仅限简单场景）
仅当子页与父页完全同源、且数据结构极简单（纯 JSON 可序列化字段，不含函数/undefined/Date 等）、且能接受轻微延迟时，才考虑这个降级方案。
- 子页设置：
window.LAYUI_LAYER_RESULT = { status: "success", payload: { id: 1, name: "test" } } - 父页在
yes回调中启动轮询：const timer = setInterval(() => { if (window.LAYUI_LAYER_RESULT) { clearInterval(timer); doSomething(window.LAYUI_LAYER_RESULT); } }, 100) - 务必加超时控制，否则子页出错会导致父页无限等待
这种写法脆弱、不可靠，遇到子页 JS 报错或未执行到赋值语句就彻底失效。真实项目里，postMessage 是唯一值得投入的路径。
真正容易被忽略的是 event.source 校验和 origin 白名单——很多人只写 "*"，上线后遇到 XSS 风险或被 CSP 策略拦截才意识到问题。
