如何绕过跨域限制在`iframe`中使用`window.open`?

跨域限制是为了保护用户的隐私和安全，通常浏览器不允许`iframe`加载的内容直接操作来源不同的其他域名下的资源，包括打开新窗口(`window.open`)。但是，有一些特殊情况下可以尝试绕过这个限制：

1. **JSONP** (JSON with Padding): 当目标站点允许通过GET请求返回数据，并且提供一个特定的回调函数名作为参数，你可以动态创建一个script标签来请求数据并触发回调。

function jsonp(url, callback) {
    var script = document.createElement('script');
    script.src = url + '?callback=' + callback;
    document.head.appendChild(script);
}

jsonp('http://example.com/data', 'handleData');

2. **CORS** (Cross-Origin Resource Sharing): 如果服务端支持CORS，那么可以在响应头中设置`Access-Control-Allow-Origin`字段来指定哪些源可以访问。客户端发起的请求会带上`Origin`头，服务器据此判断是否允许访问。

3. **PostMessage API**: 使用`postMessage`方法在两个页面之间传递消息，主页面在`iframe`中监听消息并调用`window.open`。

4. **同源策略规避**: 创建一个新的`<a>`标签，并手动引发点击事件来打开链接，虽然不是真正的绕过，但可以间接实现。但这种方式依赖于用户点击，且可能在某些浏览器中受限。

然而，请注意以上方法并非所有情况下都能成功，大部分现代浏览器对跨域权限管理很严格。如果需要在不同域间操作，最好的实践通常是通过服务器端代理或者API Gateway。