crossdomain.xml 中最严格的策略是否相当于根本没有？

Question

我可以在我的服务器日志上看到一些 http 404 对于 [mydomain]/crossdomain.xml

我想知道是否添加此文件并将其配置为具有最严格的策略。也就是说：（取自 html 5 样板）

<?xml version="1.0"?>

<!DOCTYPE cross-domain-policy SYSTEM "http://www.adobe.com/xml/dtds/cross-domain-policy.dtd">
-<cross-domain-policy> 
<!-- Read this: www.adobe.com/devnet/articles/crossdomain_policy_file_spec.html -->

<!-- Most restrictive policy: -->
 <site-control permitted-cross-domain-policies="none"/> 
<!-- Least restrictive policy: -->

<!-- <site-control permitted-cross-domain-policies="all"/> <allow-access-from domain="*" to-ports="*" secure="false"/> <allow-http-request-headers-from domain="*" headers="*" secure="false"/> -->

<!-- If you host a crossdomain.xml file with allow-access-from domain="*" and don’t understand all of the points described here, you probably have a nasty security vulnerability. ~ simon willison -->
 </cross-domain-policy>

这是否相当于根本没有？

我发现与跨域误导相关的 http 404 错误，因此我想摆脱它们，以便我可以识别真实的更有效。

Answer 1

不完全是。规范规定：

也就是说，根跨域策略不包含
allowed-access-from 指令或 HTTP 标头。元策略
“无”阻止使用可能存在的任何其他策略
即使开发商将它们包括在内。拥有是无效的
根跨域内的允许访问或标头策略
元策略为“none”的策略文件。如果无效的情况
策略既有“无”设置又有其他指令，“无”需要
优先，并且该网站不允许任何权限。

所以，我认为最具限制性的技术是使用“none”。