跨域訪問的安全問題

Question

我有一個上傳腳本在Flash中進行回調到php文件。在這種狀態下，任何人都可以向php腳本發送post請求，並可以上傳惡意文件。 我想限制只訪問主機的Flash和PHP文件的服務器的訪問。

我已經將一個密鑰存儲到一個文本文件中，並更改文件權限，但只有php可以訪問該文件並獲取該密鑰並且不會閃光。由於Flash通過get請求讀取文件，並且如果我限制訪問，我看到403禁止訪問。

如果您有任何想法，請諮詢我該怎麼做，謝謝。

Answer 1

您無法控制人們將提交給腳本的內容。

您可以使用CSRF protection來阻止Mallory欺騙Alice提交惡意數據（這將有助於如果您使用用戶憑證，以便「Alice」有所作爲），但您無法阻止Mallory提交任何她喜歡的內容。

您需要對誰（授權用戶）可以使用該服務進行某種審覈和/或惡意文件檢測和/或限制。