flash - 阻止 flash 访问 http 资源

Question

假设我的 HTTP 服务器上有一些音频流资源

http://example.com:7000/foo.mp3

我确实设计了一个 Flash 播放器来播放它。

http://example.com/player.swf

而且我注意到有些人使用第三方 Flash 播放器来播放该音频。

http://other.com/player.swf

他们的玩家将尝试重新加载该资源，直到它可用为止。这对我的 HTTP 服务器造成很大压力。为了阻止他们攻击我的服务器，我只想允许从我的 Flash 播放器访问。奇怪的是，我认为在这种情况下，Flash 播放器应该在加载我的音频资源之前先检查 crossdomain.xml，但他们没有。他们只是加载声音并播放。 corssdomain.xml 甚至不存在。我尝试添加一个，但效果不佳

<?xml version="1.0"?>
<!DOCTYPE cross-domain-policy SYSTEM
"http://www.adobe.com/xml/dtds/cross-domain-policy.dtd">
<cross-domain-policy>
    <allow-access-from domain="*.example.com"/>
</cross-domain-policy>

那么flash播放器有什么问题呢？为什么不检查crossdomain.xml就可以访问资源？

是否在某些情况下，Flash 播放器不必检查 crossdomain.xml？如果是，我该如何阻止第三方播放器(来自不同域)访问我的资源？

谢谢。

Answer 1

如果您真的想解决这个问题，我会研究为您的资源设置一些真正的保护措施。即，http://example.com:7000/foo.mp3 不应直接访问。你可以把它放在一个强制执行类似一次性 key 的服务器后面，这样它就需要被请求为 http://example.com:7000/foo.mp3?key=1234，其中 1234 是 cryptographically secure随 secret 钥。加载您的 Flash 应用程序的 Web 服务器将生成此 key ，将其作为变量传递到 Flash 应用程序，然后在为您的媒体内容提供服务的服务器(可能是同一台服务器)上授权此 key .特别是如果资源服务器和 HTML 服务器相同，这也可以使用 HTTP cookie 轻松完成。

现在，这不会阻止某人加载您的 HTML 以获得授权 key 。但是，如果您将 key 正确地嵌入到 HTML 中，它至少会起到很大的威慑作用。 (如果您需要对此 HTML 页面进行身份验证和授权，那么您几乎已经涵盖了所有内容。)

使用 crossdomain.xml 或任何其他类似方法将资源的安全性置于客户端而不是服务器的控制之下 - 这绝不是一个好主意。