跨域 iframe 中 parent.xxx 报 “Permission denied” 是因浏览器同源策略直接拦截访问，子页与父页协议、域名或端口不一致时，parent.callbackFn 等调用静默失败；必须使用 postMessage 通信并严格校验 e.origin。
跨域 iframe 为什么 parent.xxx 会报 “Permission denied”
因为浏览器同源策略直接拦截了对 parent 对象的任意访问，只要子页域名、协议或端口与父页不一致，parent.callbackfn、parent.layer.close 这类调用都会静默失败——控制台可能没报错，但 js 执行中断，页面卡住或白屏。
这不是 Layui 的限制，是浏览器强制行为。Layui 自身不做跨域适配，也不封装绕过逻辑。
- 常见误判：以为加个
setTimeout就能等parent就绪，其实根本进不去 - 典型现象：子页 JS 里写
console.log(parent)输出undefined或空对象 - 验证方法：在子页打开开发者工具，执行
parent.location.href，跨域时直接抛SecurityError
必须用 postMessage，且 origin 校验不能省
postMessage 是唯一通用解法，但只发不收、或收时不校验 e.origin，等于没做。
子页发送示例（别用 '*'）：
if (window.parent && window.parent.postMessage) {
window.parent.postMessage({
type: 'submit',
data: { id: 123, name: 'test' }
}, 'https://yourdomain.com'); // 必须写明确域名
}
父页监听必须绑定在 window 上，并校验来源：
window.addEventListener('message', function(e) {
if (e.origin !== 'https://child-domain.com') return; // 关键校验
if (e.data.type === 'submit') {
console.log(e.data.data);
layer.close(layer.getFrameIndex(window.name));
}
});
- IE8–9 不支持
postMessage，如需兼容，只能降级用 URL hash 轮询（极不推荐） - 父子页都得有完整收发逻辑，缺一不可；只写发送，父页永远收不到
- 不要用
onmessage = function(){}替代addEventListener，后者可多次绑定，前者会被覆盖
父页怎么安全传参给跨域子页
URL 参数拼接 JSON.stringify 后塞 query string？不行。IE 和部分 WebView 会截断长 URL，且编码/解码易出错。
可靠方式只有两种：
- 简单值走 URL：比如
content: 'https://child.com/form.html?id=123&mode=edit'，子页用new URL(location.href).searchParams.get('id')读取 - 复杂对象必须由子页主动拉取：父页提供一个同域中转接口（如
/api/init-data?token=xxx），子页用fetch请求获取，token 由父页生成并透传
绝对避免：layer.open 的 success 回调里尝试操作跨域 iframe 的 DOM，必然失败。
监听 iframe 加载状态和错误很难，别硬扛
Layui 默认不暴露 iframe 的 load 或 error 事件，404、跨域拒绝、JS 报错都表现为白屏或空白内容，无提示。
能做的有限但有效：
- 父页设置
loading: true，并在success回调里手动清除加载态（哪怕 iframe 实际没加载成功） - 子页自身加兜底逻辑：加载失败时主动
postMessage({ type: 'error', msg: 'init failed' }) - 别依赖
iframe.onload—— 跨域时该事件根本不会触发
真正难的不是通信本身，而是错误边界处理：跨域下你既看不到子页 console，也 catch 不到它的异常，所有反馈都得靠主动约定消息协议来闭环。
