Cross-domain 策略文件詳解
2024-09-12 17:51:31
供稿：網(wǎng)友
crossdomain.xml最通常放置的地方是一個(gè)domain的root文件夾，flash player會(huì)默認(rèn)檢測(cè)這個(gè)路徑下的crossdomain.xml文件，這個(gè)root目錄下的crossdomain.xml叫做master policy file，大家記住這個(gè)概念，下面會(huì)用到。
crossdomain.xml的Schema就是那個(gè)http://www.adobe.com/xml/dtds/cross-domain-policy.dtd，詳細(xì)規(guī)定了crossdomain.xml每個(gè)節(jié)點(diǎn)的屬性選項(xiàng)，大家可以自己去瀏覽。
crossdomain.xml的根節(jié)點(diǎn)必須是cross-domain-policy：
它包含三個(gè)子節(jié)點(diǎn)：site-control, allow-access-from, allow-http-request-headers-from
無屬性
節(jié)點(diǎn)介紹：
site-control
這個(gè)節(jié)點(diǎn)定義當(dāng)前域的meta-policy
meta-policy決定這個(gè)域中除了master policy file以外哪些策略文件可以被client接受
如果這個(gè)策略文件并不是master policy file，site-control這個(gè)節(jié)點(diǎn)就會(huì)被忽略。
如果你用ActionScript指定使用某個(gè)非master policy file的策略文件，你必須先檢查master policy file的這個(gè)子節(jié)點(diǎn)以確認(rèn)你指定的那個(gè)policy file是被授權(quán)的。
site-control的屬性permitted-cross-domian-policies有5個(gè)選項(xiàng)：none--任何policy file都不被允許，包括master policy file。master-only不用解釋了。by-content-type--當(dāng)HTTP頭的Content-Type值為text/x-cross-domain-policy才被允許。by-ftp-filename--只有以文件名結(jié)尾的URL才被允許。all--不用介紹。默認(rèn)值是master-only,除了socket policy file，它的默認(rèn)值是all。
allow-access-from
allow-http-request-headers-from
===============================================
Adobe 強(qiáng)烈不推薦的允許所有資源訪問的crossdomain.xml文件范例：
<?xml version="1.0"?>
<!DOCTYPE cross-domain-policy SYSTEM
"http://www.adobe.com/xml/dtds/cross-domain-policy.dtd">
<cross-domain-policy>
<site-control permitted-cross-domain-policies="all"/>
<allow-access-from domain="*" secure="false"/>
<allow-http-request-headers-from domain="*" headers="*" secure="false"/>
</cross-domain-policy>
