面向浏览器扩展与多窗口通信时，如何校验 postMessage 消息的可信边界

核心结论

postMessage 只是跨窗口传递数据的通道，不会自动证明发送者身份，也不会替应用完成授权。安全设计必须同时约束接收目标、验证发送来源、校验消息结构，并在执行敏感操作前重新进行业务授权；仅检查消息中自报的域名或某个可猜测字段没有安全意义。

底层机制与决策依据

发送方调用 postMessage 时，应把 targetOrigin 设置为精确的协议、主机和端口组合，避免使用通配符。通配符意味着消息可能被导航后的窗口、被劫持的嵌入页或非预期父页面接收。接收方处理 message 事件时，应检查事件对象的 origin 是否与精确允许列表匹配；比较必须是完整相等，而不是使用前缀、后缀