[решено] Помогите разобраться с crossdomain.xml

Question

[ArtStudio3D]

Всем привет!

Помогите разобраться с кроссдоменными запросами в связке js + flash.

Задача:
Разместить виртуальный тур на KRPano таким образом, что все кроме тайлов с жипегами (т.е. js, swf, xml, html) лежит на одном домене (сервере), а сами тайлы на другом домене (сервере). Нужно для того, что бы 40гб тайлов хранились в облаке (надеюсь, что это выйдет быстрее и дешевле).

Мои домены:
Домен 2-го уровня: artstudio-3d.ru (хостится на хетцнере) — для всего кроме тайлов;
Домен 3-го уровня: cdn.artstudio-3d.ru — для тайлов.
Он связан посредством записи в файле зоны:
cdn CNAME 86801.selcdn.ru.

86801.selcdn.ru — мой контейнер на селектеле. Публичный, домен привязан. Забегая вперед скажу, что в HTML5 моя затея (подружить домены) — работает корректно. Т.е. я не сильно накосячил в привязках доменов и т.п.

Что я сделал:
Сходил на форум KRPano, почитал что же нужно делать, погуглил:
krpano.com/forum/wbb/index.php?page=Thread&threadID=5017
www.panopress.org/forum/index.php?p=/discussion/96/images-hosted-on-another-serverdomain-instructions/p1

У себя создал файл crossdomain.xml. Поместил его в корень. Содержимое файла:

<?xml version=«1.0»?>
<!DOCTYPE cross-domain-policy SYSTEM «www.adobe.com/xml/dtds/cross-domain-policy.dtd»>

<cross-domain-policy>

<allow-access-from domain=«cdn.artstudio-3d.ru»/>
<allow-access-from domain=«86801.selcdn.ru»/>

</cross-domain-policy>

В управляющий туром файло (tour.xml), согласно примерам выше добавил:
<security> <crossdomainxml url="http://artstudio-3d.ru/crossdomain.xml" /> <allow-access-from domain="cdn.artstudio-3d.ru"/> <allow-access-from domain="86801.selcdn.ru"/> </security>

Ну а сами тайлы прописаны примерно вот так:
<level tiledimagewidth="3183" tiledimageheight="3183"> <cube url="http://cdn.artstudio-3d.ru/panos/01.tiles/l3_%s_%v_%h.jpg" /> </level>

Результат:
artstudio-3d.ru/demo/tour.html
А не работает.
Хтмл5 — все ок, т.е. я в путях и связях доменов не накосячил.
Под флешем — стандартная ошибка безопасности:
ERROR: Security Error — «cdn.artstudio-3d.ru/panos/01.tiles/l2_f_1_1.jpg»

Хотя cdn.artstudio-3d.ru/panos/01.tiles/l2_f_1_1.jpg само собой, загружается.

Где я ошибся?
Коллеги которые решали подобную проблему говорят, что «должно работать».

Answer 1

[noonesshadow]

Request URL:http://cdn.artstudio-3d.ru/crossdomain.xml
Request Method:GET
Status Code:404 Not Found

Comments

[noonesshadow]

Поставили, заработало)

[ArtStudio3D]

Т.е. этот файл должен лежать в корне всех доменов, которые обмениваются между собой данными, так?
И в нем должны быть перечислены все эти домены?

Странно, что я не нашел указаний на это (может плохо читал).

Дописал в него:
cdn.artstudio-3d.ru/crossdomain.xml

Правильно ли я понимаю, что таким образом можно делать и «защиту» от «воровства» панорам? (У ряда коллег это весьма актуальная беда)
Т.е. кто-то вполне может прописать на своем сервере пути к моим тайлам, но не сможет загружать сами тайлы (под флешем), если его домен не указан у меня?

В общем, большое спасибо :)
Я почти сутки мучался сидел.

[noonesshadow]

Должен лежать в корне доменов, с которых тянутся данные (всех, кроме основного с которого все грузится). Лучше класть и там, на случай путаницы с www.
По идее должен заблокировать, но это логика реализована на стороне клиента, и потому в теории ее могут обойти.

[ArtStudio3D]

«На стороне клиента» — в смысле в браузере у зрителя? Тогда это достаточная защита от воровства контента таким образом.

Еще бы от i-frame придумать что-то.
Мне самому — неактуально (до сих пор), но иногда заказчики интересуются.

[noonesshadow]

<script language="JavaScript">
<!--
if(top.frames.length > 0)
top.location.href=self.location;
//-->
</script>

[ArtStudio3D]

Это в мою хтмлку и все?

А можно «белый список» организовать? Чтобы на некоторых (чужих) доменах было можно грузить через i-frame?

\пошел тестить

[noonesshadow]

Думаю что можно, проверкой href ов

[ArtStudio3D]

Затестил. С этим кодом перекидывает на ту страницу, которую пытался загружать через i-frame. Так же и должно быть, да?
Какие подводные камни могут быть у такого способа? (Глюки какие-то, или еще что)

[noonesshadow]

Да, в этом идея. Мне такой способ кажется самым гуманным — пользователь получает то, что хотел, а тому кто спионерил облом.
В теории как-то это можно обойти, хитрым скриптингом, но это первый базовый уровень защиты. Глюков быть не должно.

[mayorovp]

Обходится такая защита вот так:

<iframe src=test.html sandbox=allow-same-origin></iframe>

[WEBIVAN]

mayorovp
Указанный код будет работать только в ИЕ
ArtStudio3D
А во флеше такое сделано ну никак не для защиты от воровства.
Это защита от использования компьютеров пользователей сайта как ботнета, если бы ее не было, достаточно было бы нужную флешку повесить на популярный ресурс и все посетители этого ресурса, сами того не ведая, парсили бы чужие сайты и прочее.

[krasulya]

Используйте заголовок
developer.mozilla.org/en-US/docs/HTTP/X-Frame-Options

[ArtStudio3D]

Да понятно, что это не «защита» «для меня». Но раз механизм есть, чего бы им не воспользоваться.

Параноей и копирастией не страдаю. Сам факт, что контент где-то еще висит это неплохо. Больше людей увидит.
Но, иногда, это может приводить к репутационным потерям для меня и заказчика.