Actionscript 3 Entwicklerhandbuch

ACTIONSCRIPT 3.0 ENTWICKLERHANDBUCH
Sicherheit
Wenn eine Anwendung installiert wird, werden alle Dateien, die im AIR-Paket enthalten sind, in einem
Anwendungsverzeichnis auf dem Computer des Benutzers installiert. Entwickler können im Code über das app:/-
URL-Schema (siehe „URI-Schemas“ auf Seite 863) auf dieses Verzeichnis verweisen. Alle Dateien in der
Anwendungsverzeichnisstruktur werden der Anwendungs-Sandbox zugewiesen, wenn die Anwendung ausgeführt
wird. Inhalt in der Anwendungs-Sandbox ist mit allen Berechtigungen versehen, die für eine AIR-Anwendung
verfügbar sind, darunter auch für die Interaktion mit dem lokalen Dateisystem.
Viele AIR-Anwendungen verwenden nur diese lokal installierten Dateien, um die Anwendung auszuführen. AIR-
Anwendungen sind jedoch nicht auf die Dateien im Anwendungsverzeichnis beschränkt; sie können jeden Dateityp
von jeder beliebigen Quelle laden. Dazu gehören lokale Dateien auf dem Computer des Benutzers sowie Dateien aus
verfügbaren externen Quellen, zum Beispiel von einem lokalen Netzwerk oder aus dem Internet. Der Dateityp hat
keinen Einfluss auf Sicherheitsbeschränkungen; geladene HTML-Dateien haben dieselben Sicherheitsberechtigungen
wie geladene SWF-Dateien aus derselben Quelle.
Inhalt in der Anwendungs-Sandbox hat Zugriff auf AIR-APIs, auf die Inhalt in anderen Sandboxen nicht zugreifen
kann. Zum Beispiel ist die air.NativeApplication.nativeApplication.applicationDescriptor-Eigenschaft,
die den Inhalt der Anwendungsdeskriptordatei für eine Anwendung zurückgibt, auf den Inhalt in der Sicherheits-
Sandbox der Anwendung beschränkt. Ein weiteres Beispiel einer beschränkten API ist die FileStream-Klasse, die
Methoden für das Lesen und Schreiben im lokalen Dateisystem enthält.
ActionScript-APIs, die nur für Inhalt in der Sicherheits-Sandbox der Anwendung zur Verfügung stehen, sind im
ActionScript 3.0-Referenzhandbuch für die Adobe Flash-Plattform mit dem AIR-Logo gekennzeichnet. Wenn Sie diese
APIs in anderen Sandboxen verwenden, gibt die Laufzeitumgebung eine SecurityError-Ausnahme aus.
Bei HTML-Inhalt (in einem HTMLLoader-Objekt) sind alle AIR-JavaScript-APIs (diejenigen, die über die
window.runtime-Eigenschaft verfügbar sind, oder über das air-Objekt, wenn die Datei „AIRAliases.js“ verwendet
wird) für Inhalt in der Anwendungs-Sandbox verfügbar. HTML-Inhalt in anderen Sandboxen hat keinen Zugriff auf
die window.runtime-Eigenschaft, deshalb kann dieser Inhalt nicht auf die AIR- oder Flash Player-APIs zugreifen.
Für Inhalt, der in der AIR-Anwendungs-Sandbox ausgeführt wird, gelten die folgenden zusätzlichen
Einschränkungen:
Für HTML-Inhalt in der Anwendungs-Sandbox gibt es Beschränkungen bezüglich der Verwendung von APIs, die
Strings dynamisch in ausführbaren Code umwandeln, nachdem der Code geladen wurde. Auf diese Weise wird
verhindert, dass die Anwendung ungewollt Code aus anderen Quellen als der Anwendung (zum Beispiel von
potenziell unsicheren Netzwerkdomänen) einfügt und ausführt. Ein Beispiel ist die Verwendung der eval()-
Funktion. Ausführliche Informationen finden Sie unter „Codebeschränkungen für Inhalt in unterschiedlichen
Sandboxen“ auf Seite 1147.
Um mögliche Phishing-Angriffe zu verhindern, werden img-Tags in HTML-Inhalten in ActionScript-TextField-
Objekten in SWF-Inhalten in der Anwendungs-Sandbox ignoriert.
Inhalt in der Anwendungs-Sandbox kann das asfunction-Protokoll in HTML-Inhalt in ActionScript 2.0-
Textfeldern nicht verwenden.
SWF-Inhalt in der Anwendungs-Sandbox kann den domänenübergreifenden Cache nicht nutzen. Diese Funktion
wurden mit Flash Player 9 Update 3 eingeführt. Damit kann Flash Player Adobe-Plattformkomponenteninhalt
zwischenspeichern und bei Bedarf in geladenen SWF-Inhalten wiederverwenden (sodass der Inhalt nicht
mehrmals neu geladen werden muss).
Letzte Aktualisierung 27.6.2012
1105