初步找到一种方案，可以尝试设置 self_redirect 为true（详见文档），这样授权登录页就不会用top.location重定向了，而是重定向当前iframe。然后在重定向后的页面（中转页）调用 top.location.callParentPageMethod ，不过需要在该页面以及父级页面设置document.domain为同域，比如document.domain = 'foo.com'，而父级的方法 callParentPageMethod 则可以执行window.location.reload()或者其他登录完成的逻辑。