Flex的crossdomain.xml问题

玩过Flex或者Flash的同学都知道，如果想要在Flash里面跨域获取数据，就必须在对方server上配置crossdomain.xml。具体来说，比如你的Flash在domain A下面，而你想要访问domain B暴露的web service，那么domain B的server根目录下必须要有一个crossdomain.xml文件来配置说你有这个权限。这个是Flash Player的安全限制。

 

对于Flash Player 9之前的版本，这个crossdomain.xml文件大概如下：

 

Xml代码

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE cross-domain-policy SYSTEM
    "http://www.macromedia.com/xml/dtds/cross-domain-policy.dtd" >
<cross-domain-policy>
    <allow-access-from domain="*" secure="true" />
</cross-domain-policy>

以上配置允许所有domain访问当前server所暴露的数据（比如web service）。你可以在domain属性里面指定特殊的规则。secure属性用来设置你所暴露的数据是否走https协议。

 

 

但是对于Flash Player 9而言，crossdomain.xml文件内容出现了较大的变化，原因是Flash Player 9的security机制有所改变。所以当我用Flex 3调用cross domain的web service时，还使用上面的crossdomain.xml文件，结果就报错说security error。于是稍微研究了一下，得到如下解决方案，其实就是要改变crossdomain.xml的内容：

Xml代码

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE cross-domain-policy SYSTEM
    "http://www.macromedia.com/xml/dtds/cross-domain-policy.dtd" >
<cross-domain-policy>
    <site-control permitted-cross-domain-policies="all" />
    <allow-access-from domain="*" />
    <allow-http-request-headers-from domain="*" headers="*"/>
</cross-domain-policy>

 以上是Flash Player 9所要求的crossdomain.xml的内容。可以看到多了两个tag。其中site-control是可选的，但是allow-http-request-headers-from对于cross domain的web service确实必须的。如果没有允许header，就会像我之前一样报错。这些配置项的具体含义以及其他可选配置项，可以参考http://www.adobe.com/devnet/flashplayer/articles/flash_player_9_security.pdf