FlashPlayer安全限定读书手札

一些概念：

1.资源发布者(Resource Distributor)

提供给定资源的一方。通常指服务器操作者，如网站管理员、套接字服务器管理员。

2.资源创建者(Resource Creator)

创建资源的一方，指编译.swf的AcitonScript开发人员。

3.用户(User)

FlashPlayer运行的计算机用户。

?

本地范围（Locate Realm）

远程范围（Remote Realm）被资源发布者划分为不同区域，叫远程区域（Remote Region）

A.Internet域

B.Internet子域

C.指向远程范围中的一台计算机的IP地址

注意：

1）sitea.com和siteb.com是不同的远程区域；

2）games.sina.com和music.sina.com是不同的远程区域；

3）192.168.1.83和192.168.2.58是不同的远程区域；

4）192.150.14.120和http://adobe.com是不同的远程区域，尽管192.150.14.120解析于

adobe.com-----FlashPlayer认为数值指定的IP地址和他们等价的域名不同！

?

--------------------------------------安全沙盒类型---------------------------------------------

Security.sandboxType

Security.sandboxType 具有下列值之一：

?

remote (Security.REMOTE)：此 SWF 文件来自 Internet URL，并在基于域的沙箱规则下运行。

localWithFile (Security.LOCAL_WITH_FILE)：此 SWF 文件是本地文件，尚未受到用户信任，且没有使用网络名称进行发布。 此 SWF 文件可以从本地数据源读取数据，但不能与 Internet 进行通信。

localWithNetwork (Security.LOCAL_WITH_NETWORK)：此 SWF 文件是本地文件，尚未受到用户信任，且已使用网络名称进行发布。 此 SWF 文件可与 Internet 通信，但不能从本地数据源读取数据。

localTrusted (Security.LOCAL_TRUSTED)：此 SWF 文件是本地文件，并且用户已经使用“设置管理器”或 FlashPlayerTrust 配置文件将其设置为受信任的文件。 此 SWF 文件既可以从本地数据源读取数据，也可以与 Internet 进行通信。

?

?

---------------------------------常见的由于安全原因受阻塞的4种操作-------------------------

1）内容装载

2）内容作为数据访问

3）交叉脚本控制

4）数据装载上的限定

?

1.内容装载（Loading Content）

2.内容作为数据访问

3.交叉脚本控制（Cross-Scripting）

由程序访问加载的.swf文件。包括但不限于以下几种：

a）通过Loader的实例变量content取得被加载的.swf文件对象

b）访问被加载的.swf的变量

c）调用被加载的.swf的方法

d）引用被加载的.swf中定义的类

e）使用BitmapData类的实例方法draw()把被加载的.swf文件的像素复制到一个BitmapData对象

4.数据装载上的限定（Loading Data）

我们常说的数据装载有一下几种：

a）通过FileReference类的实例的方法download()从一个服务器下载文件

b）使用Flash Remoting装载对象

c）使用Socket对象装载二进制数据等

??通常说的是

1）使用URLLoader类的实例方法load()装载文本、二进制、URL编码变量

2）使用URLStream类的实例方法load()装载数据

注意：

Loader实例的load-------------------------内容装载

URLLoader实例的load---------------------数据装载

?

--------------------------Remote沙盒-------------------------------------

-------------------------localWithFile--------------------------------------

--------------------------localWithNetwork------------------------------------

----------------------------------localTrusted------------------------------