Безопасность XML запросов к PHP

[Froll]

Здравсвтуйте, дорогие гуру флэшеры, есть к вам вопрос по безопасности

Вступление:
Есть swf размещенная на странице, эта swf содержит функционал пользователя (регистрация, логин, изменение). Собрав данные с формы формирует xml запрос и получает ответ от сервера с результатами работы через XML.sendAndLoad

Скриптовый язык нас сервере PHP

Проблема:
Как известно всем, декомпилить флэш нетрудно, и затем узнать по коду на какой URL и какие запросы шлет swf. И затем отправить ему свои (К примеру сделать робота который будет сотнями отправлять запросы регистрации и создать за день миллион мертвых пользователей...)

Вопрос:
Как защитить сервер/BackEnd?
Конечно можно и нужно проверять переменные заголовка (HTTP_HOST, HTTP_REFFER, HTTP_USER_AGENT), но как известно их очень просто подделать

Очень буду рад любым дельным мыслям. А если вы считаете что XML реквесты не дадут нужной безопасности - предложите свой вариант передачи серверу данных

[etc]

Как и везде — показывать картинку.

[Froll]

Как и везде — показывать картинку.

А разве когда Флэш конектится к серверу он это делает каждый раз на одной и той же сессии?

[etc]

Я не понял вопроса. Просто флеш является интерфейсом, вместо html-страницы и все.

[Froll]

Я не понял вопроса. Просто флеш является интерфейсом, вместо html-страницы и все.

Не совсем так, страницы формируются и получают данные на сервере, и тем самым защищены... А swf у клиента и данные получает и отдает, открытым для всех, запросом на сервер

Может есть примеры подобных сайтов, где UI полностью на флеше и облодаем большим функционалом?

[Dr.OH]

не, флэш далеко не всегда создает сессию, точнее отсылает о ней данные... как вариант можно попробовать их сэмулировать, т.е.:
1. отправить флэшу его sid
2. дождаться запроса на картинку
3. отправить картинку, сопоставив ее номер с sid в базе
4. дождаться ответа от флэша (номер + sid)

[Froll]

Дрон, спасиб, я примерно такое и думаю сделать

А вот по поводу sid, я проверил опытным путем flash посылает запрос на xml с тем же sid, который выдается странице содержащей флеш. А значит мы работает в одной сесии

[Dr.OH]

если ты уверен в пользовательском cookie, то можно ограничиться и стандартным sid'ом.