flex 安全沙箱问题

iteye_12242

于 2013-10-21 09:39:04 发布

阅读量157

点赞数

分类专栏： flex 文章标签： flex 安全沙箱

本文链接：https://blog.csdn.net/iteye_12242/article/details/82545200

版权

flex 专栏收录该内容

8 篇文章 0 订阅

订阅专栏

http://javaman.group.iteye.com/group/wiki/3425-flex-cuisuqiang-java

所谓“安全沙箱”，其实是flex的一种安全策略，这确实给不少初学者造成很大程度上的困难。
以socket为例，网站也同理。
建立socket，前提是flash文件在浏览器中运行安全沙箱才会其作用，如果直接使用本地flash播放器运行则不会出现安全沙箱问题。

Java代码
1.//添加socket的监听方法
2.private function configureListeners():void{
3. socket.addEventListener(Event.CLOSE, closeHandler);
4. socket.addEventListener(Event.CONNECT, connectHandler);
5. socket.addEventListener(IOErrorEvent.IO_ERROR, ioErrorHandler);
6. socket.addEventListener(SecurityErrorEvent.SECURITY_ERROR, securityErrorHandler);
7. socket.addEventListener(ProgressEvent.SOCKET_DATA, socketDataHandler);
8.}
9.//初始化连接
10.private function initSocket():void{
11. try{
12. if (socket == null){
13. socket=new Socket();
14. }
15. configureListeners();
16. socket.connect("", "");
17. trace("初始化socket,进行连接");
18. }catch (e:Error){
19. Alert.show("连接socket服务器失败！");
20. }
21.}
//添加socket的监听方法
private function configureListeners():void{
socket.addEventListener(Event.CLOSE, closeHandler);
socket.addEventListener(Event.CONNECT, connectHandler);
socket.addEventListener(IOErrorEvent.IO_ERROR, ioErrorHandler);
socket.addEventListener(SecurityErrorEvent.SECURITY_ERROR, securityErrorHandler);
socket.addEventListener(ProgressEvent.SOCKET_DATA, socketDataHandler);
}
//初始化连接
private function initSocket():void{
try{
if (socket == null){
socket=new Socket();
}
configureListeners();
socket.connect("", "");
trace("初始化socket,进行连接");
}catch (e:Error){
Alert.show("连接socket服务器失败！");
}
}

在socket调用连接的时候socket内部会首先连接指定IP的843端口，目的是请求一个crossdomian文件，此文件实际就是一个授权文件。之后sockt会根据授权文件的范围进行判断，如果连接的端口不在授权之中就会出现安全沙箱冲突的错误。

而一般意义上的corssdomain文件为入下结构：

Java代码
1.<cross-domain-policy>
2. <allow-access-from domain="*" to-ports="1000"/>
3. <allow-access-from domain="localhost" to-ports="1000"/>
4.</cross-domain-policy>
<cross-domain-policy>
<allow-access-from domain="*" to-ports="1000"/>
<allow-access-from domain="localhost" to-ports="1000"/>
</cross-domain-policy>

此文件规定客户端flash可以连接的地址。如果是socket的话，服务器端socket就以流的方式返回corssdomain文件。

Java代码
1.public class FlashClientHander implements Runnable {
2. private ServerSocket serverSocket = null;
3. private static String CROSS_DOMAIN = null;
4. public FlashClientHander(){
5. CROSS_DOMAIN = GlobalsXml.getPropertie("cross-domain-context");
6. try {
7. serverSocket = new ServerSocket(843);
8. } catch (IOException e) {
9. e.printStackTrace();
10. }
11. }
12. @Override
13. public void run() {
14. while(GlobalDefinition.IS_RUNNING){
15. try {
16. Socket socket = serverSocket.accept();
17. System.err.println("843 accpet");
18. BufferedReader reader = new BufferedReader(new InputStreamReader(socket.getInputStream()));
19. OutputStreamWriter writer = new OutputStreamWriter(socket.getOutputStream());
20. String request = read(reader);
21. System.err.println("Request = " + request);
22. if (request.contains("<policy-file-request/>") || request.contains("GET /crossdomain.xml")) {
23. writer.write(CROSS_DOMAIN + "\u0000");
24. }
25. writer.flush();
26. writer.close();
27. reader.close();
28. socket.close();
29. } catch (IOException e) {
30. e.printStackTrace();
31. } catch(Exception e){
32. e.printStackTrace();
33. }
34. }
35. }
36. private String read(BufferedReader in) {
37. StringBuffer buffer = new StringBuffer();
38. int codePoint;
39. boolean zeroByteRead = false;
40. try {
41. do {
42. codePoint = in.read();
43. if (codePoint == 0 || codePoint == '\n') {
44. zeroByteRead = true;
45. }
46. else if (Character.isValidCodePoint(codePoint)) {
47. buffer.appendCodePoint(codePoint);
48. }
49. }
50. while (!zeroByteRead && buffer.length() < 200);
51. }
52. catch (Exception e) {
53. e.printStackTrace();
54. }
55. return buffer.toString();
56. }
57.}
public class FlashClientHander implements Runnable {
private ServerSocket serverSocket = null;
private static String CROSS_DOMAIN = null;
public FlashClientHander(){
CROSS_DOMAIN = GlobalsXml.getPropertie("cross-domain-context");
try {
serverSocket = new ServerSocket(843);
} catch (IOException e) {
e.printStackTrace();
}
}
@Override
public void run() {
while(GlobalDefinition.IS_RUNNING){
try {
Socket socket = serverSocket.accept();
System.err.println("843 accpet");
BufferedReader reader = new BufferedReader(new InputStreamReader(socket.getInputStream()));
OutputStreamWriter writer = new OutputStreamWriter(socket.getOutputStream());
String request = read(reader);
System.err.println("Request = " + request);
if (request.contains("<policy-file-request/>") || request.contains("GET /crossdomain.xml")) {
writer.write(CROSS_DOMAIN + "\u0000");
}
writer.flush();
writer.close();
reader.close();
socket.close();
} catch (IOException e) {
e.printStackTrace();
} catch(Exception e){
e.printStackTrace();
}
}
}
private String read(BufferedReader in) {
StringBuffer buffer = new StringBuffer();
int codePoint;
boolean zeroByteRead = false;
try {
do {
codePoint = in.read();
if (codePoint == 0 || codePoint == '\n') {
zeroByteRead = true;
}
else if (Character.isValidCodePoint(codePoint)) {
buffer.appendCodePoint(codePoint);
}
}
while (!zeroByteRead && buffer.length() < 200);
}
catch (Exception e) {
e.printStackTrace();
}
return buffer.toString();
}
}

如果服务器端使用socket返回crossdomain流的话，需要注意一下几点：
一、socket是有超时时间的，超时同样出错，所以服务器端socket尽量快速的完成843端口的请求返回。
二、flash的socket在判断crossdomain流结束的标识是\u0000字符，因此服务器socket在返回corssdomain流之后验写出一个\u0000字符。

另外flex没有多线程概念，所谓没有多线程的意思是，不提供给用户使用，内部自然是有多线程的额功能的，对外体现出来就是回调和异步。
这就造成了一个问题，你需要判断哪些代码是同步执行的，哪些代码是异步执行的。即大部分方式是在调用结束后返回，而在调用过程会阻塞后面方法的调用，而有些方法则是无法阻塞后面方法执行的，最明显的就是Alert.show方法，同样和js的alert、java的JOptionPane进行比较就会发现js和java的响应时阻塞当前进程，而as则是，异步。
话归正题，socket的connect就是一个异步的操作，所以你再connect后面做一些读写操作都是没有意义的，因为，在你操作的时候socket可能还没有连接成，于是你只能在socket的连接成功的回调中做这些操作。

另外网站的安全沙箱是统一到了，只是网站的crossdomain是http请求方式，因此网站提供的crossdomian文件就需要是一个xml文件，格式同socket。并且此corssdomian文件必须放置在网站根目录，所谓网站根目录与项目根目录不是一个概念，这里所说的网站根目录是指域名或ip加端口，xml只有放置在此目录才有效果
评论共 3 条请登录后发表评论 3 楼 lemon_yt 2013-10-11 23:05

2 楼 cuisuqiang 2013-06-21 17:15
自从Adobe Flash Player升级到9.0.124后，由于安全策略的修改，原来的socket连接方式将不能被使用，而必须采用新的安全策略方式来验证，具体的过程如下：

1.首先检测服务端的843端口是否提供安全策略文件；
2.如果步骤1没有检测到，则检测AS代码中是否使用了Security.loadPolicyFile(xmlsocket://)手段进行安全验证，如果没有则进行第3步验证；
3.在目标端口检测安全策略文件

如果以上3步都检测失败，则flash player拒绝连接目标服务器。socket连接失败。socket端大体思路是：监听843端口和目标端口，在flash player第一次连接时，会先连接843端口，并且发送"<policy-file-request/> "作为验证标志，如果843提供安全策略，则843端口将策略文件用字符串方式返回flash player , 如果安全策略文件中运行flash player连接目标端口，则843端口关闭，flash player自行启动一个socket连接目标端口。到此为止，socket连接成功。

安全策略文件格式如下：

Java代码
1.<?xml version="1.0"?>
2.<!DOCTYPE cross-domain-policy SYSTEM "/xml/dtds/cross-domain-policy.dtd">
3.<cross-domain-policy>
4. <site-control permitted-cross-domain-policies="master-only" />
5. <allow-access-from domain="*" to-ports="10000" />
6.</cross-domain-policy>
<?xml version="1.0"?>
<!DOCTYPE cross-domain-policy SYSTEM "/xml/dtds/cross-domain-policy.dtd">
<cross-domain-policy>
<site-control permitted-cross-domain-policies="master-only" />
<allow-access-from domain="*" to-ports="10000" />
</cross-domain-policy>
1 楼 cuisuqiang 2013-06-21 17:13
Java代码
1.writer.write(CROSS_DOMAIN + "\u0000");
writer.write(CROSS_DOMAIN + "\u0000");

有的人值发送了策略文件的字节流，而没有加以上这个东西，那么Flex客户端是不处理的，所以它是必要的结束