Есть ли <iframe> единственный способ реализовать внешние приложения для WebOS?

Question

Я работаю над проектом, где мы пытаемся реализовать нечто похожее на WebOS. Несколько человек предлагают идею загрузки внешних приложений с помощью .

Я искал и нашел: https://osjsv2.0o.no/, этот проект также использует (вы много проверяете DOM на демо, чтобы увидеть его).

Но для меня я нашел эту идею довольно плохой, потому что, насколько я понимаю, она защищена только тогда, когда запрещен перекрестный домен (parent.document не будет доступен).

Если есть какой-то JavaScript API, доступный в родительском документе, но недоступный из-за запрещенной опции для междоменного домена для - вы не сможете использовать какой-либо этот JS API.

Не будет ли способ виртуализации родительского DOM (инкапсулирования) и обмена сообщениями через Web-Workers с использованием алгоритма структурированного клонирования более умным и безопасным способом?

Также необходимо упомянуть о безопасности. Если междоменная связь разрешена между и родительским документом - существует возможная проблема, что злоумышленник может загрузить JSON в приложении , что приведет к поломке родительского DOM или созданию какого-либо шпионского материала для входов или другого ...

Итак, главный вопрос: Безопасен ли и является ли способ загрузки внешних приложений в Web OS (например, OS.js) в 2016 году (в ближайшее время 2017)?

Благодаря

Answer 1

Я не пользователь WebOS, но если он обеспечивает доступ, fetch() и ServiceWorker скрипты позволяют вырваться из ограничений CORS. После этого вам нужно будет оценить скрипт в какой-то песочнице, например jailed, где вы можете сконструировать контекст для кода, запущенного внутри.