FlexSocket安全沙箱沖突及解決方案
本文和大家重點討論一下FlexSocket安全沙箱沖突及解決方案，FlexSocket連接SocketServer時，javaSocket、c++Socket，抑或其它，首先會開一個Socket連接主機的843端口請求安全策略文件，這個時間為3秒;如果此步未能成功，則看開發者是否顯式調用了Security.loadPolicyFileAPI。
FlexSocket安全沙箱沖突及解決方案
這是FP被廣為唾罵的特性之一，其設計糟糕至極。Adobe貌似認為9秒時間對用戶來說很短。
1，糟糕的設計可能使用戶浪費9秒時間
FlexSocket連接SocketServer時，javaSocket、c++Socket，抑或其它，首先會開一個Socket連接主機的843端口請求安全策略文件，這個時間為3秒;如果此步未能成功，則看開發者是否顯式調用了Security.loadPolicyFileAPI,如下
- Security.loadPolicyFile("xmlsocket://127.0.0.1:1843");
如有，則再次嘗試從這個端口加載策略數據，又是3秒。如果此步又未能OK，則嘗試從開發者定義的FlexSocket主機端口再次加載安全策略，此時會發送這樣一個請求：
- <policy-file-request/>
如果SocketServer沒有處理這個請求，客戶端將無法進一步完成FlexSocket連接。這個過程又是3秒。如果軟件設計不當，客戶端將浪費9秒的時間才能知道它有沒有獲得Server的連接許可，這張門票有點貴了。FP如能成功加載到安全策略數據，會把所用socket拋棄(即使從主機端口請求亦是如此)，然后執行開發者的socket連接邏輯。
2，合理的方案，用java實現
在SocketServer端單開一個843端口，用于專門向客戶端提供安全策略文件，java示例代碼如下：
- packagesban.socketServer;
- importjava.io.BufferedInputStream;
- importjava.io.BufferedReader;
- importjava.io.File;
- importjava.io.FileInputStream;
- importjava.io.IOException;
- importjava.io.InputStreamReader;
- importjava.io.PrintWriter;
- importjava.net.InetSocketAddress;
- importjava.net.ServerSocket;
- importjava.net.Socket;
- importjava.net.SocketAddress;
- importjava.net.URL;
- /**
- *sbanpolicyserverforflex/flashsocket
- *
- *@authorsban<http://sban.biz/>
- *
- */
- publicclassSbanSocketPolicyServer{
- publicSbanSocketPolicyServer(){
- }
- publicstaticStringreadFileAsString(Stringurl)
- throwsjava.io.IOException{
- byte[]buffer=newbyte[(int)newFile(url).length()];
- BufferedInputStreamf=newBufferedInputStream(
- newFileInputStream(url));
- f.read(buffer);
- f.close();
- returnnewString(buffer);
- }
- publicstaticvoidmain(String[]args)throwsIOException{
- ServerSocketserver=newServerSocket();
- SocketAddressendpoint=newInetSocketAddress("127.0.0.1",843);
- server.bind(endpoint);
- Stringpath=SbanSocketPolicyServer.class.getResource("../../crossdomain.xml").getPath();
- System.out.println(path);
- Stringpolicy=readFileAsString(path);
- while(true){
- System.out.println("waitforclient...");
- Socketsocket=server.accept();
- BufferedReaderin=newBufferedReader(newInputStreamReader(
- socket.getInputStream()));
- PrintWriterout=newPrintWriter(socket.getOutputStream());
- Strings=in.readLine();
- System.out.println(s);
- if(s.indexOf("policy-file-request")>-1){
- out.print(policy+'\0');
- out.flush();
- in.close();
- out.close();
- System.out.println("sendedpolicycontext.");
- socket.close();
- }
- }
- }
- }
而crossdomain.xml文件的示例代碼為：
- <cross-domain-policy>
- <site-controlpermitted-cross-domain-policiessite-controlpermitted-cross-domain-policies="all"/>
- <allow-access-fromdomainallow-access-fromdomain="*"to-ports="*"/>
- </cross-domain-policy>
將crossdomain.xml文件與執行文件放置一起
3，你可以借用的jar執行文件
sban把上述java導出為jar可執行文件：
SbanSocketPolicyServer.zip5.8KB
在Windows下，確定已安裝java環境，并已設定環境變量，在命令行窗口中執行如下命令：
java-jarSbanSocketPolicyServer.jar
說明：該java程序未經優化，僅作為教程示例，不建議在商業項目中使用。
【編輯推薦】
