Полностью ли изолирован iframe

IFrame не является полностью изолированным. Он может взаимодействовать с родительской страницей через postMessage, а родительская страница может управлять его содержимым через contentWindow. Однако, есть ограничения из-за политики CORS (Cross-Origin Resource Sharing).

Пример взаимодействия:

// Родительская страница
iframe.contentWindow.postMessage('Hello', 'https://example.com');

// IFrame
window.addEventListener('message', (e) => {
  if (e.origin === 'https://parent.com') {
    console.log(e.data); // 'Hello'
  }
});

Безопасность:

• Если src iframe с другого домена, доступ к его DOM ограничен.
• sandbox атрибут усиливает изоляцию, отключая скрипты, формы и другие функции.
• same-origin iframe имеет полный доступ к родительскому DOM.