如何将SWF文件绑定到主机？

Question

我正在开发一个主要的 Flash 项目，该项目将成为网站的核心内容。

正如你们大多数人所知，几乎任何站点都可以通过复制缓存文件和层次结构（文件和文件夹结构）来完全复制，并且如果使用的话，它可以在启用了 PHP 的 Apache 服务器上毫无问题地运行。

我想知道的是：如何绑定SWF文件在特定主机上运行？

SWF文件将被加密，因此外部人员无法访问用于阻止SWF运行的方法在不同的主机上，问题是：使用什么方法？

我认为解决方案可以是对 SWF 内的主机 IP 进行硬编码，因此，如果 SWF 正在寻找 123.123.123.123，则只有具有该 IP 的主机才允许 SWF 进一步运行。

问题是 AS3 本身无法发现主机 IP，或者如果它尝试加载资源文件也可以发现主机 IP？无论如何，这就是为什么我需要你的帮助。

编辑：好吧，似乎有人之前要求过类似的东西：您能否保护您的 swf，以便它检查它是否在可识别的环境中运行？ 我会尝试一下，看看它是如何工作的，但问题仍然悬而未决，以防有人有不同的建议。

Answer 1

我使用此方法来确定我的配置文件中是处于开发状态还是处于生产状态。

var lc:LocalConnection = new LocalConnection();
switch ( lc.domain ){
  case "myDomain.com":
  case "":// local file reference  for dev
  case "localhost":// local file reference  for dev
  case "dev.mydomain.com":// local file reference for dev
    break;
  default:
    // unknown domain do crash the app here
}

Answer 2

您可以尝试的一种方法是 swf 向其发送请求的 php 脚本，并且必须收到正确的回复才能继续运行。由于人们无法访问您的服务器端 php，因此他们无法获得模拟该回复所需的代码。

Answer 3

SWF 将被加密，因此外部人员将无法访问用于阻止 SWF 在不同主机上运行的方法
由于该文件将在客户端计算机上运行（因此它们的密钥必须以可访问的方式存储），因此这并不是真正的保护。

最好的方法可能是将 SWF 逻辑的一部分放在服务器上，并且不允许从第三方主机访问该部分（通过使用跨域文件）。

Answer 4

研究将 main 包装在预加载器类型中的想法，并将 main 放入服务器上的安全目录中。我不记得这是如何解决缓存问题的，但它与包装器加载 main 的方式有关。

像这样的事情：

// preloader.as (embedded in fla)
var imageLoader:Loader;

function randomNumber(low:Number=NaN, high:Number=NaN):Number
{
  var low:Number = low;
  var high:Number = high;

  if(isNaN(low))
  {
    throw new Error("low must be defined");
  }
  if(isNaN(high))
  {
    throw new Error("high must be defined");
  }

  return Math.round(Math.random() * (high - low)) + low;
}
function loadImage(url:String):void {
imageArea.visible=false;
preloader.visible = true;
// Set properties on my Loader object
imageLoader = new Loader();
imageLoader.load(new URLRequest(url));
imageLoader.contentLoaderInfo.addEventListener(ProgressEvent.PROGRESS, imageLoading);
imageLoader.contentLoaderInfo.addEventListener(Event.COMPLETE, imageLoaded);
imageArea.addChild(imageLoader);
}
// DOIT!
loadImage("main.sw?"+randomNumber(1000,10000)); //NOT A TYPO!
//loadImage("main.swf"+randomNumber(1000,10000);


function imageLoaded(e:Event):void {
// Hide Preloader
preloader.visible = false;
}

function imageLoading(e:ProgressEvent):void {
// Get current download progress
var loaded:Number = e.bytesLoaded / e.bytesTotal;
// Send progress info to "preloader" movie clip
preloader.SetProgress(loaded);
}

/// this is main.sw  //NOT A TYPO
<?php
// Tried this - abandoned
// session_start();
//
// if(isset($_SESSION["flash"])) {
//   $referrer = $_SERVER["HTTP_REFERER"];
//   $referrer = parse_url($referrer);
//   if($referrer["host"] != $_SESSION["flash"]) {
//     echo "Permission denied.";
//     exit();
//   }
// } else {
//   echo "Permission denied.";
//   exit();
// }
//
// unset($_SESSION["flash"]);

header("Content-type: application/x-shockwave-flash");
readfile("/secure/main.swf");
?>

// main.as
public function onCreationComplete(event:Event):void{
  Security.allowDomain( "*" );
  Security.loadPolicyFile( "crossdomain.xml" );
}

// crossdomain.xml
<?xml version="1.0"?>    
   <!DOCTYPE cross-domain-policy SYSTEM "http://www.macromedia.com/xml/dtds/cross-domain-policy.dtd">
   <cross-domain-policy>
   <allow-access-from domain="*" />
   </cross-domain-policy>

这应该可以帮助你开始。这里的想法是防止任何人在他们的机器上获取 main - 我不确定它是否有效。

Answer 5

您可以让服务器端页面使用基于日期的算法生成密钥，该密钥通过 flash var 传递到您的 swf。这样，“复制”的密钥将不起作用，因为到那时，有效日期已经过去了。据我了解，这本质上就像使用 RSA 令牌。

除此之外，您拥有的任何安全性还需要在 SWF 中添加代码来验证您的令牌。这里的问题是 SWF 很容易被反编译。这意味着你的代码不安全:(你可以混淆你的 AS3，希望迷惑任何“黑客”。

总而言之，我从未尝试过这样的事情，所以让我们知道它是如何进行的！