Neste codelab, você vai aprender como a política de mesma origem funciona ao acessar dados em um iframe.
Configuração: página com um iframe de mesma origem
Esta página incorpora um iframe, chamado iframe.html, na mesma origem.
Como o host e o iframe compartilham a mesma origem, o site host pode acessar dados dentro do iframe e expor a mensagem secreta, como mostrado abaixo.
const iframe = document.getElementById('iframe');
const message = iframe.contentDocument.getElementById('message').innerText;
Mudar para iframe entre origens
Mude o src do iframe para https://other-iframe.glitch.me/.
A página de hospedagem ainda pode acessar a mensagem secreta?
Como o host e o iframe incorporado não têm a mesma origem, o acesso aos dados é restrito.