Кроссдоменный postMessage или как браузеры поддерживают стандарты

[dimsmol]

Казалось бы, если все браузеры поддерживают кроссдоменное общение между фреймами, так почему бы сразу в приложении не открыть окно для авторизации в iframe? Но тут подножку ставит заботливый CORS – практически на всех OAuth серверах запрещено открытие страницы авторизации в фрейме.

Не CORS, а X-Frame-Options.
Это сделано для защиты от кликджекинга (ClickJacking).

[zapimir]

Согласен, поправил.

[runawayed]

Не очень понятно, что такой за случай отказа автоматики, когда токен выводится на экран? Что именно может отказать и что пользователю дальше делать с этим токеном?

[runawayed]

И еще один вопрос: что будет, если у пользователя блокируются всплывающие окна?