html中iframe本身无法跨域获取对方域名cookie，这是浏览器同源策略与samesite=lax/partitioned cookie等安全机制强制拦截的结果，前端无法绕过。

直接说结论：HTML 里用 <iframe></iframe> 本身**无法跨域获取对方域名的 Cookie**，浏览器会拦截、静默丢弃、或根本不会发送——这不是前端能绕开的限制，而是安全策略强制行为。

为什么 iframe.src 跨域后拿不到 Cookie？

核心原因是现代浏览器（Chrome 80+、Firefox、Safari）默认启用 samesite=lax，且从 Chrome 127 开始默认启用 partitioned cookie。这意味着：

• 嵌入在 https://a.com 页面中的 https://b.com iframe，其发起的请求**不会自动携带 b.com 的 Cookie**（除非明确配置 samesite=none; secure）
• 更关键的是：a.com 的 JS **完全无法读取 b.com iframe 内部的 document.cookie**，这是同源策略硬性禁止的
• 即使你设了 document.domain = 'example.com'，也只对**严格子域**（如 a.example.com ↔ b.example.com）有效，且已被 Firefox 69+/Chrome 85+ 标记为废弃

常见“伪方案”为什么不可靠？

网上流传的几种“iframe 跨域取 cookie”做法，实际都依赖额外条件或存在严重缺陷：

html-ppt-to-pdf

将使用 `

` 约定的 HTML 幻灯片转换为高保真、矢量文本 PDF（使用 Playwright + Chromium 原生 PDF 功能）。

下载

• 用 iframe 加载 b.com/get-cookie 然后读 contentDocument.body.textContent：前提是 b.com 必须开启 CORS 并允许 credentials，且该接口必须返回纯文本；但浏览器仍会阻止跨域读取 iframe 内容，除非双方同源或使用 postMessage 主动传值
• 让 b.com/2.html 自跳转到 a.com/3.html?cookie=xxx：需控制 b.com 的页面逻辑，且 cookie 明文拼在 URL 中，违反 GDPR/网络安全规范，还可能被截获或长度超限
• 用 <script src="https://b.com/set-cookie.js"></script> 写 cookie：只能写当前域（a.com）的 cookie，无法写入 b.com 域；且 script 加载不触发 Set-Cookie 响应头

真正可行的路径只有两条

如果必须让 a.com 知道 b.com 的登录态，只能由 b.com 主动配合，通过受控通道传递信息：

• 服务端中转：a.com 后端向 b.com/api/auth-status 发起带凭据的请求（如 Bearer Token 或 session ID），由 b.com 后端校验并返回状态。这是最安全、最可控的方式
• postMessage + 双方协作：在 b.com 的页面中监听 message 事件，当收到 a.com 发来的验证请求后，调用 document.cookie 读取自身 Cookie（合法），再用 event.source.postMessage() 把加密后的 token 或状态回传给 a.com。要求 b.com 页面可部署自定义 JS，且必须校验 event.origin

注意：samesite=none; secure 是必要条件，但仅解决“iframe 内请求是否带自己域 Cookie”，不解决“父页读子页 Cookie”。它必须搭配 HTTPS，且任何漏配都会导致浏览器静默忽略。

前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！