Flexers.cn

概述：由于2008年4月Adobe对Flash Player 进行了版本升级（version 9,0,124,0），这一升级对于安全沙箱有较为重大的影响，以前一些配置crossdomain.xml的方式在新的player中变为不可用。因此很多开发人员都遇到了新的问题，由于项目需要，我对http访问外部资源的过沙箱操作进行了一些研究，稍作整理与大家分享

Flash Player 9,0,124,0 以前老版本的过沙箱方法

例如：

你的swf存放位置： http://www.yourswf.com:8080/flexProjectName/test.swf

你想调用的外部资源位置： http://www.othersxml.com:8088/xmlProjectName/resource.xml

老的解决方案：

1、在 http://www.othersxml.com:8088/xmlProjectName/ ，外部资源项目上下文根目录下存放 crossdomain.xml. 这个xml文件中配置对 www.yourswf.com:8080 这一域名的许可。

2、在 test.swf 代码中加入 Security.loadPolicyFile(http://www.othersxml.com:8088/xmlProjectName/crossdomain.xml); 载入许可文件

版本升级后的改变：

即使在http://www.othersxml.com:8088/xmlProjectName/ 下存放了crossdomain.xml文件，并使用loadPolicyFile加载这个文件，也并不意味着 /xmlProjectName/ 下的所有资源对swf进行了开放。

新的策略要求，在http://www.othersxml.com:8088/ 这个服务器根路径上需要存放一份crossdomain.xml文件，这里称之为主策略文件。而如果是仅仅在 /xmlProjectName/ 下存放crossdomain.xml是没有什么作用的

新的解决方案1：

在http://www.othersxml.com:8088/ 下添加crossdomain.xml

格式如下

<cross-domain-policy>
<site-control permitted-cross-domain-policies=”all” />
<allow-access-from domain=”www.yourswf.com” to-ports=”8080″ secure=”true” />
<allow-http-request-headers-from headers=”*” domain=”*” />
</cross-domain-policy>

然后在Swf代码中加载这个文件Security.loadPolicyFile(http://www.othersxml.com:8088/crossdomain.xml);

新的解决方案2：

对于因为某些原因无法在服务器根目录下存放crossdomain.xml文件，例如 swf需要访问http://www.othersxml.com:8088/xmlProjectName/ 下的资源，而你作为一个项目开发维护人员仅仅拥有对于 /xmlProjectName/ 下资源的操作权限，而没有对整个服务器资源配置的权限，因此你无法往http://www.othersxml.com:8088/下存放主策略文件crossdomain.xml。这种情况是经常发生的，对于租赁服务器空间来说这是很常见的现象，因此adobe给了另外一套解决方案。

后台开发人员需要在http://www.othersxml.com:8088/xmlProjectName/ 下建立一个servlet，这里我们访问的url取名为 /getPolicyFile.do

在这个servlet中我们需要实现代码级别的策略(crossdomain属于文件基本的策略)

关键代码如下

File file = new File(“D:\\Program Files\\Apache Software Foundation\\Tomcat 6.0\\webapps\\othersxml\\crossdomain.xml”);

BufferedInputStream bis = new BufferedInputStream( new FileInputStream(file));

byte[] buffer = new byte[4096];

response.addHeader(“Content-Type”, “text/xml; charset=UTF-8″);
response.addHeader(“X-Permitted-Cross-Domain-Policies”, “all”);

OutputStream os = response.getOutputStream();

int length = 0;
while ((length = bis.read(buffer)) != -1)

{
os.write(buffer, 0, length);
os.close();
}
bis.close();

通过代码的形式将policy file 打印出来，并加上http header X-Permitted-Cross-Domain-Policies = all

在swf代码段则使用 Security.loadPolicyFile(http://www.othersxml.com:8088/xmlProjectName/getPolicyFile.do);的形式来进行加载即可突破新的沙箱限制

参考文档：

http://www.riachina.com/showtopic-12813.aspx cimmicola 版主的回帖给予了很大帮助

http://www.adobe.com/devnet/flashplayer/articles/fplayer9_security.html adobe官方的介绍，很详细