跨域时iframe子页面无法直接访问window.parent，必须用postMessage通信：子页用parent.postMessage发送消息，父页在顶层window监听message事件并校验origin，再调用layer.close(layer.getFrameIndex(window.name))安全关闭。
layui弹出层中iframe子页面与父页面协议、域名或端口不一致时，浏览器会直接拦截window.parent访问，控制台报“blocked a frame with origin … from accessing a cross-origin frame”，页面卡死或功能失效。
确认是否真跨域
打开子页面开发者工具，执行window.parent.location.href；若抛出SecurityError，说明已触发同源策略拦截——这不是layui的bug，是浏览器强制行为，无法绕过。
检查父页URL协议（http/https）、域名（a.com/b.com）、端口（:8080/:3000）三者是否与iframe的src完全一致。任一不同即跨域。
常见伪跨域陷阱：【localhost:8080 与 127.0.0.1:8080 被视为不同源】，开发时务必统一用域名或统一用localhost。
跨域时禁止的操作
不要在子页面里写parent.layer.close()、parent.submitForm()、parent.tableIns.reload()等任何直接访问parent属性或方法的代码。
不要尝试document.domain = 'xxx.com'——iframe与父页主域不同（如a.xxx.com与b.xxx.com）时无效；同域子域间才可能生效，且现代浏览器已逐步弃用该方案。
不要用setTimeout反复轮询parent.xxx是否就绪——跨域下parent对象字段始终不可读，轮询只会持续失败。
唯一可行通信方案：postMessage
方法一：子页面向父页发送消息
在子页面JS中加入：
if (window.parent && window.parent.postMessage) {<br> window.parent.postMessage({ type: 'SAVE_SUCCESS', data: { id: 1001 } }, 'https://your-parent-domain.com');<br>}
【origin必须精确到协议+域名+端口，不能用'*'，否则现代浏览器静默丢弃】
方法二：父页面监听并校验
在父页面顶层window作用域（不是某个tab页或iframe内）绑定：
window.addEventListener('message', function(e) {<br> if (e.origin !== 'https://your-child-domain.com') return;<br> if (e.data.type === 'SAVE_SUCCESS') {<br> console.log('收到子页成功响应:', e.data.data);<br> layer.close(layer.getFrameIndex(window.name));<br> }<br>});
注意：监听必须挂载在最外层layout页面的window上；若父页本身嵌在LayuiAdmin的tab中，写在子tab里将收不到消息。
关闭弹窗的安全写法
第一步：子页面发完消息后，立刻调用window.parent.layer.close(window.parent.layer.getFrameIndex(window.name))。
第二步：若父页监听到消息并需主动关闭，必须用layer.close(layer.getFrameIndex(window.name))，不能用layer.close(index)——因为index是父页open时返回的层索引，而window.name才是iframe自身标识符，跨域下更可靠。
第三步：确保layer.getFrameIndex(window.name)能取到值——这要求iframe的name属性未被覆盖，且父页layer已正确渲染该iframe层。
