flash的externalinterface.call及js与swf交互域名安全测试

在编写flash跨域插件时,发现可以在不同父域名的页面加载其它页面swf,如果里面使用到externalinterface.call话,好像是没有任何限制,swf是可以直接使用任何域名的js,就算swf是a.com,html是b.com也可行.

没有深入了解js与as互相交互的安全规则,

为了不想让别域名使用我的swf,我想到的方法是,在swf中判断html的域名,来限制别人使用.如果发现,就不加载需要的功能即可.

as判断代码

????????????var?domain?=?getHtmlDomain();
????????????
????????????if?(!domain?||?!/^(.+.)?chinahrd.net$/i.test(domain))?{//只允许chinahrd.net域数据
????????????????var?tip?=?'只允许父域名是chinahrd.net的页面使用flash跨域插件fajax,你的域名是:'?+?domain;
????????????????ExternalInterface.call('alert',?tip);
????????????????trace(tip);
????????????????return;
????????????}

????????????????private?function?getHtmlDomain():String{????????????var?domain?=?'';????????????????????????try?{????????????????domain?=?ExternalInterface.call('(function?(){?return?document.domain;})');????????????}?catch?(e:Error)?{????????????????domain?=?'';????????????}????????????????????????return?domain;???????????????????}