在一次漏洞挖掘中，发现了一串巧妙链接的安全缺陷，融合了多种技术元素，包括postMessage的不当使用、JSONP端点的粗疏防护、WAF的规避、XSS在非目标子域名上的运用、CORS配置的宽松策略，以及对受保护资产实施CSRF攻击。通过寻找范围外的资产，发现了一个不安全的消息事件监听器，可以发送恶意Web消息。
本文介绍了在ServiceWorker中进行消息传递的方法，包括使用postMessage发送消息、设置事件处理程序处理有效负载、使用消息路由约定发送不同类型的消息、使用MessageChannel回复消息、注册事件监听器监听来自ServiceWorker的消息，以及使用swivel库简化消息传递。
朋友的网站需要从A域名迁移到B域名，由于用户数据存在localStorage，所以需要使用postMessage()来实现迁移，具体方案是增加migrate.html页面，在应用里增加<iframe>，接收迁移请求，返回之前存储的数据，提示刷新。主要坑在于<iframe>里的页面无法直接跟跨域页面通信，需要父页面先找到子页面，发起请求。本文分享了实现迁移的方法，欢迎留言交流。 朋友的网站需要从A域名迁移到B域名，由于用户数据存在localStorage，所以采用postMessage()来实现，方案是增加migrate.html页面，在应用里增加<iframe>，接收迁移请求，返回存储的数据，提示刷新。主
window.postMessage() 方法允许来自一个文档的脚本可以传递文本消息到另一个文档里的脚本，而不用管是否跨域。一个文档里的脚本还是不能调用在其他文档里方法和读取属性，但他们可以用这种消息传递技术来实现安全的通信。 这项技术称为“跨文档消息传递”，又称为“窗口间消息传递”或者“跨域消息传递”。 postMessage() 方法，该方法允许有限的通信 —— 通过异步消息传递的方式...
很多情况下，我们受到浏览器的安全策略限制。如何能规避此限制，并且能安全的使用跨域通讯，这就不得不介绍一下 postMessage 了。
完成下面两步后，将自动完成登录并继续当前操作。
