製品

テクノロジ

A–C

D–H

I–Z

プロジェクトセンター

デベロッパーリソース

コミュニティーリソース

ブログ

MXNA* (ブログアグリゲータ)
Adobe ブログ*

製品ドキュメンテーション

ダウンロード

サンプル

トレーニング＆書籍

ニュースレター

ADC プログラム

追加リソース

より安全なSWF Webアプリケーションの作成

HTMLコード内でのセキュリティ制御の設定

SWFをHTMLに埋め込む場合、ブラウザからまたはネットワーク上でコンテンツにアクセスするためにSWFファイルが持つアクセス許可をFlash Playerに通知するフラグを設定できます。これらのフラグは、サイトでサードパーティ開発者の信頼性のないSWFファイルをホストする場合に役立ちます。

以下に説明する方法以外の追加情報については、「How to restrict SWF content from HTML*」のブログ投稿を参照してください。

allowScriptAccessの使用

関連する脅威：ブラウザへのスクリプトのインジェクション

HTMLスクリプトへのアクセス制御について詳しくは、Adobe LiveDocsの「ホストWebページのスクリプトへのアクセス制御」を参照してください。

allowScriptAccess設定は、Flash Player 6.0.40.0以降で使用できるようになりました。この設定により、親SWFファイルおよび親SWFファイルによってロードされたSWFファイルが、FSCommandやExternalInterfaceなどのコマンドを使用するか、「javascript://{code}」ステートメントをgetURL（ActionScript 2.0の場合）およびnavigateToURL（ActionScript 3.0の場合）に送信することによって、ブラウザに対して外部スクリプト呼び出しを行うことができるかどうかが決まります。

SWFファイルへのアクセスを許可する場合、基本的にHTMLページ全体への読み取りアクセスと書き込みアクセスの両方を許可することになるという点に注意してください。

allowScriptAccessでは、次の３種類の設定が可能です。

always：SWFファイルをロードする際に使用するドメインに関係なく、ブラウザと通信するときにSWFファイルは完全に信頼されます。このSWFによってロードされたすべてのSWFファイルにも、ブラウザと通信する許可が与えられます。これは、Flash Player 7以前との互換性を確保するようにコンパイルされたSWFファイルのデフォルトです。
sameDomain：SWFとホストするHTMLページが同じドメインに含まれている場合、これらは相互に通信できます。これは、Flash Player 8以降との互換性を確保するようにコンパイルされたSWFファイルのデフォルトです。
never：SWFとブラウザがJavaScriptを使用して相互に通信することは一切許可されません。

allowNetworkingタグは、ブラウザ内でのスクリプトアクセスに影響する場合があり、allowScriptAccessタグで使用されている設定より優先されることに注意することも重要です。

次のコード例の強調表示されているセクションを確認してください。

<object id='MyMovie.swf' classid='clsid:D27CDB6E-AE6D-11cf-96B8-444553540000' codebase='http://download.adobe.com/pub/shockwave/cabs/flash/swflash.cab#version=9,0,0,0' height='100%' width='100%'>
<param name='allowScriptAccess' value='never'/>
<param name='src' value=''MyMovie.swf'/>
<embed name='MyMovie.swf' pluginspage='/go/getflashplayer' src='MyMovie.swf' height='100%' width='100%' allowScriptAccess='never'/>
</object>

allowNetworkingについて

関連する脅威：ブラウザへのスクリプトのインジェクション、クロスドメイン権限の昇格

以下で説明する内容について詳しくは、Adobe LiveDocsの「ネットワークAPIの制限」を参照してください。

allowNetworking機能は、ブラウザまたはActionScriptのネットワーク呼び出しを通じて、SWFが外部ネットワーク呼び出しを行うことを防ぐためにFlash Player 9で追加されました。allowScriptAccessタグによって制御されるメソッドはクラス全体のActionScriptネットワークメソッドのサブセットなので、allowNetworking設定はallowScriptAccess設定よりも優先されることになります。

allowNetworkingでは、次の３種類の設定が可能です。

all：ネットワーク接続を行うときに、SWFは完全に信頼されます。ブラウザとの通信は、allowScriptAccessによって制御されます。これがデフォルト設定です。
internal：SWFは、navigateToURL()、fscommand()およびExternalInterface.call()の各ActionScript 3.0コマンドを作成できなくなります。ActionScript 2.0の開発者の場合、getURL()、MovieClip.getURL()、fscommand()およびExternalInterface.call()が制限されます。この設定によりallowScriptAccess設定が無効になり、SWFとブラウザとの通信がブロックされます。すべてのネットワーク呼び出しは、SWF内で内部的に行う必要があります。
none：これは、HTML内で設定できるタグの中で最も制限が厳しいタグです。このタグを指定すると、SWFによるすべての外部通信がブロックされます。

ActionScript 3.0の場合、内部設定によってブロックされるネットワークメソッドだけでなく、sendToURL()、FileReference.download()、FileReference.upload()、Loader.load、LocalConnection.connect()、NetConnection.connect()、NetStream.play()、Security.loadPolicyFile()、SharedObject.getLocal()、SharedObject.getRemote()、Socket.connect、Sound.load()、URLLoader.load()、URLStream.load()、XMLSocket.connect()、System.security.loadPolicyFile()の各ネットワークメソッドもブロックされます。

ActionScript 2.0の場合、内部設定によってブロックされるネットワークメソッドだけでなく、XML.load()、XML.send()、XML.sendAndLoad()、LoadVars.load()、LoadVars.send()、LoadVars.sendAndLoad()、loadVariables()、loadVariablesNum()、MovieClip.loadVariables()、NetConnection.connect()、NetStream.play()、loadMovie()、loadMovieNum()、MovieClip.loadMovie()、MovieClipLoader.loadClip()、Sound.loadSound()、LocalConnection.connect()、LocalConnection.send()、SharedObject.getLocal()、SharedObject.getRemote()、FileReference.upload()、FileReference.download()、System.security.loadPolicyFile()、XMLSocket.connect()の各ネットワークメソッドもブロックされます。

また、TextFieldオブジェクトのhtmlTextプロパティの<img>タグ内で外部メディアを参照することはできません（SecurityError例外がスローされます）。（ActionScriptではなく）Flashオーサリングツールで追加されたインポート済み共有ライブラリのシンボルは、実行時にブロックされます。