도메인간 데이터 액세스 허용

Flash 문서는 다음 데이터 로드 호출 중 하나를 사용해 외부 소스에서 데이터를 로드할 수 있습니다. XML.load(), XML.sendAndLoad(), LoadVars.load(), LoadVars.sendAndLoad(),loadVariables(), loadVariablesNum(). 또한, SWF 파일은 런타임 공유 라이브러리나 다른 SWF 파일에 정의된 자원을 런타임에 가져올 수 있습니다. 기본적으로, 런타임 공유 라이브러리의 경우 데이터나 SWF 미디어는 해당 외부 데이터나 미디어를 로드할 SWF와 같은 도메인에 존재해야 합니다.

런타임 공유 라이브러리의 데이터와 자원을 서로 다른 도메인의 SWF가 사용할 수 있도록 하려면 크로스 도메인 정책 파일을 사용합니다. 크로스 도메인 정책 파일은 서버가 자신의 데이터와 문서를 특정 도메인 또는 모든 도메인에서 제공되는 SWF에 사용할 수 있다는 것을 나타내는 방법을 제공하는 XML 파일입니다. 서버의 정책 파일에 의해 지정된 도메인에서 제공되는 모든 SWF 파일은 그 서버의 데이터나 자원에 액세스하도록 허용됩니다.

Flash 문서가 다른 도메인의 데이터에 액세스하려고 시도하면 Flash Player는 자동적으로 그 도메인에서 정책 파일을 로드합니다. 액세스하려는 Flash 문서의 도메인이 정책 파일에 포함되어 있
으면 자동적으로 데이터에 액세스할 수 있게됩니다.

정책 파일의 이름은 반드시 crossdomain.xml이어야 하며 데이터를 제공할 서버의 루트 디렉토리에 존재해야 합니다. 정책 파일은 HTTP, HTTPS 또는 FTP 상에서 통신하는 서버에서만 동작합
니다. 정책 파일은 파일이 저장된 서버의 포트와 프로토콜에만 해당됩니다.

예를 들어, https://www.macromedia.com:8080/crossdomain.xml에 있는 정책 파일은 HTTPS를 통하여 www.macromedia.com의 8080 포트에 대한 데이터 로드 호출에만 적용됩니다.

XMLSocket 객체를 사용하여 다른 도메인의 소켓 서버에 연결하는 경우에는 이 규칙이 적용되지 않습니다. 이 경우, 소켓 서버와 같은 도메인의 80번 포트에서 실행 중인 HTTP 서버는 메서
드 호출을 위한 정책 파일을 제공해야 합니다. XML 정책 파일은 하나의 태그를 가집니다. 그리고, 이 태그에는 0개 이상의 태그가 포함됩니다. 각 태그는 한 개의 속성 domain을 가집니다. 이 속성에 정확한 IP 주소, 정확한 도메인 또는 와일드카드 도메인(모든 도메인)을 지정합니다. 와일드카드 도메인은 모든 도메인과 IP를 대표하는 단일 별표 문자(*) 또는 접미어로 끝나는 도메인을 대표하는 접미어를 가진 별표 문자로 표현됩니다. 접미어는 점으로 시작해야 합니다. 그러나, 접미어를 가진 별표 문자는 앞의 점을 제외한 접미어 만으로 구성되는 도메인과 일치할 수 있습니다. 예를 들어, foo.com은 *.foo.com에 속한 것으로 생각할 수 있습니다. 와일드카드는 IP 도메인 형식에 사용할 수 없습니다.

IP 주소를 지정하면 IP 구문(예: http://65.57.83.12/flashmovie.swf)을 사용하여 해당 IP 주소에서 로드된 SWF에만 액세스 권한이 부여됩니다. 이 경우, 도메인 이름 구문을 사용하여 로드된 SWF에는 액세스 권한이 부여되지 않습니다. Flash Player는 DSN 이름 해결을 수행하지 않습니다.

다음은 foo.com의 Flash 문서에 대해 foo.com, friendOfFoo.com, *.foo.com, 및 105.216.0.40에서
온 Flash 문서에 액세스를 허용하는 정책 파일의 예입니다.

<?xml version=”1.0″?>
<!– http://www.foo.com/crossdomain.xml –>
<cross-domain-policy>
<allow-access-from domain=”www.friendOfFoo.com” />
<allow-access-from domain=”*.foo.com” />
<allow-access-from domain=”105.216.0.40″ />
</cross-domain-policy>

정책 파일에 <allow-access-from> 태그가 없으면 서버에 정책이 없는 것과 동일합니다.

*새로운 플래시 보안 정책은 http://www.exampledomain.com 이라는 주소와 http://exampledomain.com를 서로 다른 주소로 취급하므로 이에 주의해야 한다. 즉 동일한 서버라도 사용자가 브라우저의 주소창에 입력한 주소에 따라 다른 도메인소유의 파일로 인식하므로 미리 최상위 폴더에 관련 파일을 업로드하는 것이 바람직할 것이다. 서버의 포트에 대해서도 동일한 정책이 유지되므로 포트별로 개별적인 웹사이트를 운영한다면 데이터 액세스 정책파일에 이를 명기해야 한다.