报错说明因协议、域名或端口不同导致跨域，浏览器禁止访问 window.parent；唯一合规解法是使用 postMessage 通信，并严格校验 origin、确保监听在全局上下文且父子页面均正确发送与接收消息。
直接报 Blocked a frame with origin "xxx" from accessing a cross-origin frame，说明你正在跨协议、跨域名或跨端口访问 window.parent —— 这不是 layui 的问题，是浏览器铁律，绕不过，只能换通信方式。
为什么 parent.xxx() 一调就报错
只要父子页面的协议（http/https）、域名、端口三者中任一不同，浏览器就会屏蔽对 window.parent 的所有属性和方法访问。此时 parent.submitForm 看似存在，但读取时会抛 DOMException；typeof parent.submitForm === 'function' 返回 false；连 console.log(parent) 展开都可能卡住。
-
parent对象本身不为null或undefined，但它被浏览器“冻结”了 - 错误里出现
origin "null"，常见于本地双击打开 HTML 文件（file://协议），Chrome 会视其为null源，同样触发拦截 - 别试
document.domain = 'xxx.com'—— 它只适用于**同主域不同子域**（如 a.example.com ↔ b.example.com），且现代浏览器已逐步弃用
必须用 postMessage 替代直接调用
这是唯一被浏览器允许的跨域 iframe 通信机制，但必须严格校验来源、确保监听位置正确、避免裸发 '*'。
Web Accessibility (WCAG 2 AA))
下载
将 WCAG 2 AA 无障碍标准应用于设计系统、UI 组件和网页——通过可运行的验证器进行对比度计算，采用设计 token 模式使颜色天生可访问，设定排版和焦点状态规则，并提供语义检查清单。适用于构建或审查 UI。
- 子页面发消息时，
parent.postMessage(data, 'https://your-domain.com:8080')中的 origin 必须精确匹配父页完整地址（协议+域名+端口），写'*'在 Chrome/Firefox 中会被静默丢弃 - 父页面监听必须挂在最外层全局上下文：如果父页本身嵌在 LayuiAdmin 的 tab 里，
window.addEventListener('message', ...)要写在 layout 主页，而不是某个子 tab 的 JS 里 - 监听函数第一行必须校验：
if (e.origin !== 'https://your-domain.com') return;，否则恶意 iframe 可伪造消息 - 子页面发消息前先确认：
if (parent !== window && typeof parent.postMessage === 'function')，防止非 iframe 环境下报错
iframe src 加载失败也会触发同类报错
控制台报这个错，不一定是因为你在 JS 里主动访问 parent，也可能是 iframe 自身加载失败后，内部脚本试图读取 parent 导致的连锁反应。
- 检查
layer.open({ type: 2, content: 'https://xxx.com/page.html' })中的 URL 是否可访问，是否返回 404 或重定向到跨域地址 - 避免写空
src或相对路径未解析成功（比如content: 'edit.html'但当前页面不在根目录） - 同源前提下，若 iframe 内脚本依赖父页变量，确保父页已执行完毕再加载 iframe：可在
success回调里手动设置iframe.src，而非靠 layer 自动注入 - 开发阶段临时禁用安全策略仅限本地测试：VS Code + Chrome 调试时，在
launch.json的runtimeArgs加" --disable-web-security"，但上线前必须删掉
真正麻烦的不是怎么发消息，而是谁在监听、监听在哪、有没有校验 origin、以及子页面是否等到了父页 ready。这些细节漏掉任意一个，postMessage 就形同虚设。
