网站内的 iframe 会对网站构成威胁吗？该如何防止？

Question

如何防止来自iframe内未知网站的安全威胁？
如果有威胁，该如何防止？
例如新浪微博的站内应用，他们是如何防止iframe内的网站获得用户信息的？
希望能得到你们的解答！谢谢！

Answer 1

在内容提供方的服务器没有做出明确授权的条件下，javascript的跨域请求是所有浏览器所禁止的，没有任何商量的余地。这一点上和iframe里外并没有任何关系。外边污染里边，里边窥探外边，或iframe之间交叉产生关联……只要跨域，都不允许。所有的安全说来说去就基于这一条。iframe里外两个网页，其实在浏览器的安全系统中，与两个标签页并列，并没有什么区别。