关于防盗链与跨域访问
最近用阿里云的时候发现一些防盗链与跨域访问的一些坑，填完坑之后稍微整理一下。
防盗链
防盗链是利用浏览器Http请求头Referer，告诉服务器谁访问资源，由服务器作判断，如果符合一定规则则返回数据，否则返回403。
Flash player跨域访问
Flash player访问指定资源之前，访问根URL下的crossdomain.xml，例如访问资源http://test.com/path/to/a.m3u8之前会访问http://test.com/crossdomain.xml，由Flash player解析并判断是否可以进行跨域访问。
crossdomain.xml的范例
<?xml version="1.0"?>
<!DOCTYPE cross-domain-policy SYSTEM "http://www.adobe.com/xml/dtds/cross-domain-policy.dtd">
<cross-domain-policy>
<site-control permitted-cross-domain-policies="master-only"/>
<allow-access-from domain="*.yy.com"/>
<allow-access-from domain="*.yypm.com"/>
<allow-access-from domain="*"/>
<allow-http-request-headers-from domain="*.yy.com" headers="SOAPAction"/>
</cross-domain-policy>
浏览器跨域访问
具体参照http://www.ruanyifeng.com/blog/2016/04/cors.html
Flash player与OSS的跨域访问
如果需要Flash player跨域访问OSS里面的视频资源，需要设置：
- 编写crossdomain.xml，放在bucket的根目录下
- 将域名添加到防盗链配置中（如果防盗链配置为空，则忽略）
- 将域名规则添加到跨域（Cors）配置规则中（如果规则列表为空，则忽略）
OSS与CDN的防盗链
OSS和CDN的防盗链配置是分离的。配置可以分为下面几种情况：
- 只配置OSS
安全性一般，可能会通过CDN的域名扫描到资源，而且会因CDN的缓存配置导致有时候200有时候403的情况。 - 只配置CDN
安全性一般，可能会通过OSS的域名扫描到资源。 - OSS和CDN都配置但不保持一致
很容易混乱，出问题很难查，不建议。 - OSS和CDN都配置并且保持一致
这是最安全的做法，但保持一致成本较高。
总的来说，1和2的安全性是一致的，所以如果安全性不高选择2，安全性高则选择4。
OSS与CDN的跨域配置
OSS和CDN的跨域配置是分离的。配置可以分为下面几种情况：
- 只配置OSS
安全性一般，可能会通过CDN的域名扫描到资源，而且这样做会因CDN的缓存配置导致有时候200有时候403的情况。 - 只配置CDN
安全性一般，可能会通过OSS的域名扫描到资源。 - OSS和CDN都配置但不保持一致
很容易混乱，出问题很难查，不建议。 - OSS和CDN都配置并且保持一致
这是最安全的做法，但保持一致成本较高。
总的来说，1和2的安全性是一致的，所以如果安全性不高选择2，安全性高则选择4。
