在crossdomain.xml中使用什么是安全假？

Question

我们正在将文件从HTTP uri方案上传到我们的S3.这意味着,我们的上传器脚本在我们的服务器中.我们使用S3相应地签署表格.我们的crossdomain.xml文件如下所示:

<?xml version="1.0"?>
<!DOCTYPE cross-domain-policy SYSTEM "http://www.macromedia.com/xml/dtds/cross-domain-policy.dtd">
<cross-domain-policy>
  <allow-access-from domain="*" />
</cross-domain-policy>

我应该secure="false"进去allow-access-from吗？例如:

<allow-access-from domain="*" secure="false" />

有什么含义secure="false"？我已经读过这个和这个,但是不太了解它.

第二,应该domain=*是一个真正的域名？即我们的域名？那么http://foobar.com和http://www.foobar.com？

Answer 1

如果您secure="true"只允许来自HTTPS的请求,则允许secure="false"来自HTTP和HTTPS的请求.

编辑:它仅适用于运行HTTPS网站的情况.例如,如果http://website1.com从网站https://website2.com请求资源,其中包含secure="true"crossdomain.XML中的资源,则该资源将被拒绝.但是,如果网站2在HTTP而不是HTTPS上运行,则无论HTTP和HTTPS都是允许的,无论crossdomain.xml中的安全设置如何.

http://www.senocular.com/pub/adobe/crossdomain/policyfiles.html#allow-access-from-secure