Мне было интересно, есть ли проблемы с безопасностью при добавлении crossdomain.xml в корень сервера приложений? Можно ли добавить его в какие-либо другие части сервера, и знаете ли вы о каких-либо способах обхода, которые не требуют наличия этого файла на сервере?
Спасибо Дэмиен
При добавлении crossdomain.xml основная проблема безопасности заключается в том, что теперь флеш-приложения могут подключаться к вашему серверу. Поэтому, если кто-то входит на ваш сайт, а затем переходит на другой веб-сайт с вредоносным флэш-приложением, это флэш-приложение может подключиться обратно к вашему сайту. Поскольку файлы cookie находятся в браузере, они передаются во флеш-приложение. Это позволяет флеш-приложению перехватить сеанс пользователя, чтобы сделать то, что делает ваш веб-сайт, без ведома пользователя.
Если ваше гибкое приложение обслуживается с того же сервера, вам не нужен crossdomain.xml.
Вы можете поместить его в подкаталог своего сайта и использовать System.security.loadSecurityPolicy ()
http://livedocs.adobe.com/flex/2/langref/flash/system/Security.html
Тогда приложения будут ограничены этим деревом вашей структуры каталогов.
Для междоменного файла нет обходного пути, он необходим для поддержки междоменного доступа к данным или кросс-доменного скриптинга. В случае любого междоменного запроса Flash будет искать файл crossdomain.xml в корне домена. Например, если вы запрашиваете XML-файл у:
http://mysubdomain.mydomain.com/fu/bar/
Flash проверит, существует ли файл crossdomain.xml по адресу:
http://mysubdomin.mydomain.com/crossdomain.xml
Вы можете разместить файл crossdomain.xml в другом месте. Однако, когда вам когда-либо понадобится загрузить файл crossdomain.xml из другого места, вы должны сделать это через Security.loadPolicyFile. Имейте в виду, что расположение этого междоменного домена может повлиять на ваш безопасный доступ. Flash предоставит доступ только к папке, содержащей перекрестный домен и его дочерние папки.
Вы также можете ознакомиться с изменениями безопасности в Flash Player 10 < / а>.
Вы можете настроить виртуальный хост для своего приложения. Таким образом, файл crossdomain.xml может находиться в корне вашего приложения, но не обязательно в корне сервера.
да. Будьте очень осторожны с файлами междоменной политики:
http://www.jamesward.com/2009/11/08/how-bad-crossdomain-policies-expose-protected-data-to-malicious-applications/
Мои два основных правила:
crossdomain.xml - это просто файл, имеющий значение для среды выполнения Flash; вы можете ограничить, какие HTTP-запросы будут видеть его. Вы можете использовать управление конфигурацией веб-сервера (например, Apache), чтобы разрешить доступ для чтения к нему (и только к нему) из «корневого» каталога (см. Предыдущие ответы).
Вы можете фильтровать запросы по другим заголовкам и т. Д.
Ваше здоровье
