跨域 iframe 中 parent.xxx() 报错是因浏览器同源策略拦截，必须用 postmessage 通信：子页需校验 parent.postmessage 可用性并指定精确 origin，父页须在顶层监听、校验 origin 并确保 tableins 已就绪再调 reload。
为什么 parent.xxx() 一调就报错
不是 layui 写错了，是浏览器直接拦了。只要父子页面协议（http/https）、域名、端口三者中任一不同，window.parent 就变成“纸面存在、实际不可用”的对象——读属性、调方法、甚至 console.log(parent) 展开时都会抛 Uncaught DOMException: Blocked a frame with origin ...。常见触发场景包括：http://localhost:8080 调 https://dev.example.com、同域名但端口不同（:3000 vs :8080）、本地双击打开 file:/// 页面嵌套 iframe。
不能用 --disable-web-security 的真实原因
VS Code 的 launch.json 里加 "--disable-web-security" 确实能让 Chrome 暂时放行，但它只适用于本地调试，且：
- 现代 Chrome（120+）已逐步限制该 flag 生效范围，尤其在 macOS 和启用扩展的环境下大概率失效
- 它关闭的是整个浏览器的同源策略，不是项目级修复，上线前必须删掉，否则等于裸奔
- IE/Edge 不报错 ≠ 安全，只是它们旧版策略宽松，不代表代码可移植
必须用 postMessage，但写错就等于没写
postMessage 是唯一合规路径，但以下四点漏一个就会静默失败或被拦截：
- 子页发消息必须指定精确
origin，比如父页是https://admin.example.com:8000，就不能写'*'或'https://example.com'；现代浏览器会直接丢弃origin === '*'的消息 - 父页监听必须挂在顶层
window上，如果父页本身在 LayuiAdmin 的 tab iframe 里，监听代码得写在最外层 layout 页面，而不是某个 tab 的 JS 里 - 父页收到消息第一件事是校验
event.origin，不匹配立刻return，否则可能被恶意 iframe 注入伪造数据 - 子页调用
parent.postMessage()前，先判断parent !== window && typeof parent.postMessage === 'function'，避免非 iframe 环境下直接报错
if (parent !== window && typeof parent.postMessage === 'function') {
parent.postMessage({ type: 'SUBMIT_SUCCESS', data: formResult }, 'https://admin.example.com:8000');
}
父页监听片段
window.addEventListener('message', function(e) {
if (e.origin !== 'https://admin.example.com:8000') return;
if (e.data?.type === 'SUBMIT_SUCCESS') {
// 确保 tableIns 已就绪再调 reload
if (typeof tableIns !== 'undefined' && typeof tableIns.reload === 'function') {
tableIns.reload({ page: { curr: 1 } });
}
}
});
关闭弹窗时别用 layer.getFrameIndex 直接关
Layui 的 layer.getFrameIndex(window.name) 在跨域 iframe 中大概率返回 NaN 或 undefined，因为 window.name 可能被重置或无法读取。正确做法是：子页发完消息后，让父页统一关——子页只负责通知，不负责关闭自身。父页监听到成功消息后，用保存的 index 关闭：
// 父页 open 时存 index
const index = layer.open({
type: 2,
content: 'child.html',
success: function(layero) {
const iframe = layero.find('iframe')[0];
// 把 index 挂到 iframe 元素上，确保后续可查
iframe.dataset.layerIndex = index;
}
});
// 监听消息后关
if (e.data?.type === 'SUBMIT_SUCCESS') {
const idx = document.querySelector('iframe[data-layer-index]').dataset.layerIndex;
layer.close(+idx);
}
真正麻烦的从来不是“怎么通信”，而是通信时机和对象生命周期——父页表格还没渲染完你就调 tableIns.reload()，或者子页在父页监听器挂载前就发了消息，这些都不会报错，但逻辑就断了。
