保护Cordova上的postMessage()

postMessage() . 然而,通过我的测试,我的移动应用程序的起源总是 localhost:8000 或 file:// . 此站点上的其他所有示例都使用唯一的域和源(例如。www.example.com),但我的出身显然不是独一无二的。

如果我的来源是 localhost:8000 文件:// ? 如果出于任何原因,我不能,我可以使用访问令牌来验证任何通信如下所示?

移动应用程序

var iframe = document.getElementById('iframe');
var data = {
  'access_token': 'whatever'
};
iframe.contentWindow.postMessage(data, 'localhost:8000');

网站.com

window.addEventListener('message', function(event) {
  if (!event.data || !event.data.access_token) {return;}
  // ajax request to validate the token here
});

如果有帮助的话,我正在做的事情是:

• 检测iframe何时完成加载。iframe发回一个对象。 {'loaded':true}
• 发送带有布尔值的对象 用户注销时的iframe。 {'logout':true}
• 发送带有布尔值和html字符串的对象 从 用户按下打印按钮时的iframe。 {'print':true, 'html':htmlString}
• 将加密的有效负载发送到iframe,然后等待iframe返回一个对象。 {'success':true}