小编mir*_*coc的帖子

我发现我可以file://使用iframe的contentWindow属性从远程主机上托管的页面和iframe 进行跨域通信.

例如,在设备上,我在url文件中有一个html页面://.../index.html,它加载了cordova并包含一个iframe:

<script type="text/javascript" src="cordova.js"></script>
<iframe id="appframe"></iframe>

在这个页面上,我可以执行一个加载iframe的javascript,并在iframed页面中保存一个对象的引用,如下所示:

var iframe = document.getElementById("appframe");
iframe.onload = function(){
    iframe.contentWindow.cordova = window.cordova;
}
iframe.src = "http://www.example.com/appframe.html";

现在在iframe的页面上,http://www.example.com/appframe.html,我可以执行一个cordova调用,例如:

cordova.exec(null, null, "StatusBar", "hide", []);

这意外地工作,调用StatusBar cordova插件的本机层并隐藏状态栏.

我的问题是:

这是安全使用还是在将来版本的浏览器中无法使用？

我在iOS 9和Android 5设备上测试过它.