ADR-024: iframe runtime 必须校验 source、runId、消息 schema 并设置超时

[ceilf6]

决策

iframe runtime 使用 sandbox="allow-scripts"、srcdoc、随机 runId、CSP、postMessage 协议、event.source 校验、runId 校验和消息 schema 校验。每次运行创建全新 iframe，并设置 3s timeout。

备选方案

• 直接信任 iframe postMessage。
• 只校验 message source 字段。
• 校验 event.source、runId、schema，并用 timeout 销毁失控 iframe。

理由

sandbox iframe 是 opaque origin，子页面向父页面发送消息只能使用 postMessage(..., "*")，但父页面不能把 * 当作信任边界。最新方案明确 runtime message 协议和失控处理。

影响

父页面只接受来自当前 iframe.contentWindow 且 runId 匹配、schema 合法的消息。timeout、error、blocked alert 都写入运行事件。任何 previewHtml 回放都只能进入新的 sandbox iframe。