Как проверить обработчик postMessage в iframe

postMessage в iframe позволяет виджету и родительской странице обмениваться данными, но без проверок любое окно может отправить сообщение. Для resize-обработчика нужно сверять event.origin и event.source, а затем ограничивать формат и диапазон данных.

https://blog.master.dev/testing-an-iframes-postmessage-handler/