blocks|key|5260692|text|通过添加crossdomain.xml，主要的安全问题是flash应用程序现在可以连接到您的服务器。因此，如果有人登录到您的网站，然后浏览到另一个网站的恶意flash应用程序，该flash应用程序可以连接回您的网站。因为它在浏览器中，所以cookie被共享到flash应用程序中。这允许flash应用程序劫持用户的会话，在用户不知情的情况下做你的网站所做的任何事情。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|5260693|如果您的flex应用程序是从同一服务器提供的，则不需要crossdomain.xml|5260694|您可以将其放在站点的子目录中，并使用System.security.loadSecurityPolicy()|5260695|http://livedocs.adobe.com/flex/2/langref/flash/system/Security.html|offset|length|5260696|然后，应用程序将被限制在目录结构的该树中。|5260697|entityMap|0|LINK|mutability|MUTABLE|url^0|0|0|0|0|1V|0|0|0^^$0|@$1|2|3|4|5|6|7|S|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|T|8|@]|9|@]|A|$]]|$1|D|3|E|5|6|7|U|8|@]|9|@]|A|$]]|$1|F|3|G|5|6|7|V|8|@]|9|@$H|W|I|X|1|Y]]|A|$]]|$1|J|3|K|5|6|7|Z|8|@]|9|@]|A|$]]|$1|L|3|-4|5|6|7|10|8|@]|9|@]|A|$]]]|M|$N|$5|O|P|Q|A|$R|G]]]]

By adding the crossdomain.xml, the main security concern is that flash applications can now connect to your server. So if someone logs into your site, and then browses over to another website with a malicious flash app, that flash app can connect back to your site. Since it's in a browser, cookies are shared to the flash app. This allows the flash app to hijack the user's session to do whatever it is your website does without the user knowing about it.

If your flex app is served from the same server, you don't need a crossdomain.xml

You can put it in a sub directory of your site and use System.security.loadSecurityPolicy()

<a href="http://livedocs.adobe.com/flex/2/langref/flash/system/Security.html" rel="noreferrer">http://livedocs.adobe.com/flex/2/langref/flash/system/Security.html</a>

Applications would then be limited to that tree of your directory structure.

blocks|key|758556|text|跨域文件没有解决方法，需要支持跨域数据访问或跨域脚本。在任何跨域请求的情况下，闪存将在域的根目录中查找crossdomain.xml文件。例如，如果您从以下位置请求XML文件：|type|unstyled|depth|inlineStyleRanges|entityRanges|data|758557|http://mysubdomain.mydomain.com/fu/bar/|offset|length|style|CODE|758558|Flash将检查以下位置是否存在crossdomain.xml文件：|758559|http://mysubdomin.mydomain.com/crossdomain.xml|758560|您可以将crossdomain.xml文件放置在其他位置。但是，当您需要从其他位置加载crossdomain.xml文件时，您必须通过Security.loadPolicyFile加载。请记住，此跨域的位置对您拥有的安全访问有任何影响。Flash将仅授予对包含跨域及其子文件夹的文件夹的访问权限。|758561|您可能还想阅读security+changes+in+Flash+Player+10上的内容。|758562|entityMap|0|LINK|mutability|MUTABLE|url|http://help.adobe.com/en_US/AS3LCR/Flash_10.0/flash/system/Security.html#loadPolicyFile()|1|http://www.adobe.com/devnet/flashplayer/articles/fplayer9-10_security.html^0|0|0|13|0|0|0|1A|0|1V|N|0|0|7|Z|1|0^^$0|@$1|2|3|4|5|6|7|Z|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|10|8|@$D|11|E|12|F|G]]|9|@]|A|$]]|$1|H|3|I|5|6|7|13|8|@]|9|@]|A|$]]|$1|J|3|K|5|6|7|14|8|@$D|15|E|16|F|G]]|9|@]|A|$]]|$1|L|3|M|5|6|7|17|8|@]|9|@$D|18|E|19|1|1A]]|A|$]]|$1|N|3|O|5|6|7|1B|8|@]|9|@$D|1C|E|1D|1|1E]]|A|$]]|$1|P|3|-4|5|6|7|1F|8|@]|9|@]|A|$]]]|Q|$R|$5|S|T|U|A|$V|W]]|X|$5|S|T|U|A|$V|Y]]]]

There are no workaround for the crossdomain file, it is required to support the crossdomain data access or crossdomain scripting. In the event of any cross-domain request, Flash will look for the crossdomain.xml file at the root of the domain. For example, if you are requesting an XML file from: 

<code>http://mysubdomain.mydomain.com/fu/bar/</code> 

Flash will check if a crossdomain.xml file exist at: 

<code>http://mysubdomin.mydomain.com/crossdomain.xml</code>

You can place the crossdomain.xml file in other location. However, when you ever need to load a crossdomain.xml file from a different location, you have to do it via <a href="http://help.adobe.com/en_US/AS3LCR/Flash_10.0/flash/system/Security.html#loadPolicyFile()" rel="nofollow noreferrer">Security.loadPolicyFile</a> . Bear in mind that the location of this crossdomain have any impact on the security access you have. Flash will only grant access to the folder that contains the crossdomain and its child folders.

You may also want to read up on the <a href="http://www.adobe.com/devnet/flashplayer/articles/fplayer9-10_security.html" rel="nofollow noreferrer">security changes in Flash Player 10</a>.

blocks|key|5260765|text|您可以为应用程序配置虚拟主机。这样，文件crossdomain.xml可以位于应用程序的根目录，但不一定位于服务器的根目录。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|5260766|entityMap^0|0^^$0|@$1|2|3|4|5|6|7|D|8|@]|9|@]|A|$]]|$1|B|3|-4|5|6|7|E|8|@]|9|@]|A|$]]]|C|$]]

You may configure a virtual host for your application. This way the file crossdomain.xml can be at the root of your application but not necessarily at the root of the server.

blocks|key|755791|text|是。使用跨域策略文件时要非常小心：|type|unstyled|depth|inlineStyleRanges|entityRanges|data|755792|http://www.jamesward.com/2009/11/08/how-bad-crossdomain-policies-expose-protected-data-to-malicious-applications/|offset|length|755793|我的两条经验法则是：|755794|755795|不要将跨域策略文件放在使用cookies的服务器上|unordered-list-item|755796|不要将跨域策略文件放在内部服务器上|755797|755798|entityMap|0|LINK|mutability|MUTABLE|url^0|0|0|35|0|0|0|0|0|0|0^^$0|@$1|2|3|4|5|6|7|V|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|W|8|@]|9|@$D|X|E|Y|1|Z]]|A|$]]|$1|F|3|G|5|6|7|10|8|@]|9|@]|A|$]]|$1|H|3|-4|5|6|7|11|8|@]|9|@]|A|$]]|$1|I|3|J|5|K|7|12|8|@]|9|@]|A|$]]|$1|L|3|M|5|K|7|13|8|@]|9|@]|A|$]]|$1|N|3|-4|5|6|7|14|8|@]|9|@]|A|$]]|$1|O|3|-4|5|6|7|15|8|@]|9|@]|A|$]]]|P|$Q|$5|R|S|T|A|$U|C]]]]

Yes. Be very careful with crossdomain policy files: 
<a href="http://www.jamesward.com/2009/11/08/how-bad-crossdomain-policies-expose-protected-data-to-malicious-applications/" rel="nofollow noreferrer">http://www.jamesward.com/2009/11/08/how-bad-crossdomain-policies-expose-protected-data-to-malicious-applications/</a>

My two general rules of thumb are:

<ul>
<li>Do not put a crossdomain policy file on a server that uses cookies</li>
<li>Do not put a crossdomain policy file on an internal server</li>
</ul>

blocks|key|5260807|text|crossdomain.xml只是一个对Flash运行时有意义的文件；您可以限制查看它的HTTP请求。您可以使用web服务器(例如Apache)配置控件，以允许从“根”目录(请参阅前面的答案)对其进行读访问(且仅允许对其进行读取)。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|5260808|您可以根据请求中的其他标头进行过滤，等等。|5260809|干杯|5260810|entityMap^0|0|0|0^^$0|@$1|2|3|4|5|6|7|H|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|I|8|@]|9|@]|A|$]]|$1|D|3|E|5|6|7|J|8|@]|9|@]|A|$]]|$1|F|3|-4|5|6|7|K|8|@]|9|@]|A|$]]]|G|$]]

crossdomain.xml is just a file that has meaning to the Flash runtime; you can restrict what HTTP requests get to see it. You can use web server (e.g. Apache) configuration control to allow read access to it (and only it) from the "root" directory (see previous answers).

You might filter by other headers in the request, etc.

Cheers

I was wondering are there any security concerns with adding crossdomain.xml to the root of an application server? Can it be added to any other parts of the server and are you aware of any work arounds that dont require the server to have this file in place?

Thanks
Damien

Flex and crossdomain.xml

翻译质量差，导致语言生硬或混乱。

没有提供实际的解决方法或示例。

解答不清晰，无法理解或解决问题。

页面排版不美观，阅读体验差。

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

我想知道将crossdomain.xml添加到应用程序服务器的根目录是否存在安全问题？它可以被添加到服务器的任何其他部分吗?你是否知道任何不需要服务器有这个文件的变通方法？谢谢达米恩

问Flex和crossdomain.xml
EN

回答 5

Stack Overflow用户

Stack Overflow用户

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问Flex和crossdomain.xmlEN

回答 5

Stack Overflow用户

Stack Overflow用户

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问Flex和crossdomain.xml
EN