常见漏洞验证121 条

postMessage 安全配置检查

前端使用 postMessage 通信时需校验来源与数据结构；常见问题是 targetOrigin 使用通配与不校验 event.origin。

检查点	发送侧 targetOrigin、接收侧 origin 校验、消息结构校验
方法	代码审计 + 自有页面动态验证
修复	白名单来源 + 消息 schema 校验

审计要点

发送侧：postMessage(..., '*') 排查
接收侧：addEventListener('message') 是否校验 event.origin 与 event.data 结构
嵌入场景：iframe 与主站之间的双向通信都要覆盖

修复视角：来源白名单校验必须在接收侧执行，不能只依赖发送侧限制。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌