防止在Flash容器页面上发生跨站点脚本攻击

Question

我有一个带有flex应用程序的网站。 Flex应用程序没有用户输入 - 除了点击导航。该网站也不使用脚本语言 - 即无php，asp，jsp或cfm。

该网站只包含一个页面，其中包含Flex应用程序的Flash文件。这个页面的源代码在这里：http://pastebin.com/n5b4RxqT

我被告知（通过我的客户使用的一个软件程序），这个网站容易受反射型XSS攻击，并被建议'清理'所有用户输入。

我是一个关于XSS的noob，并且恭请地要求AFAIK没有用户输入。我应该如何清理以及如何？

在此先感谢

Answer 1

使用AC_OETags是做事和已经过时的老办法。你想要做的是使用SWFObject，它现在是Flash Builder 4中的默认设置。