Ответ 1
Same-Origin-Policy по умолчанию требует то же самое имя хоста.
Чтобы сказать это не, установите:
document.domain= 'domain.com';
из script как в родительском (www.) документе, так и в документе iframe (пример.).
Обратите внимание, что установка загрузки статистически написанного iframe (или изображения) из script ненадежна, так как вполне возможно, что iframe может полностью загрузиться между временем, когда синтаксический анализатор считывает тег iframe и когда он читает тег script, который устанавливает onload.
Чтобы избежать этого, включите обработчик событий в качестве встроенного атрибута "< iframe onload =" doSomething() "(одно из немногих мест, где имеет место некорректная обработка встроенного события) или, если это приемлемо для доступности, создают сам элемент iframe из script, установив onload перед записью src и добавив его на страницу.