Как безопасно тестировать обработчик postMessage у iframe

iframe с postMessage удобно использовать для виджетов, но без проверок любой соседний или внешний window может подменить сообщение. Для resize это особенно заметно: один фальшивый payload может свернуть или раздувать встраиваемый блок, а при неосторожной обработке данных дойти и до XSS.

https://blog.master.dev/testing-an-iframes-postmessage-handler/