[maxkar]

Ну у меня, например, загрузка кода со своих серверов идет в ApplicationDomain.currentDomain и SecurityDomain.currentDomain. Еще и loadPolicyFile в true указывается (для кода, но вроде бы не нужно). А на своих серверах загрузка ресурсов разрешена со всех серверов. Все равно если кто-то контент решит утащить, он его и без crossdomain утащит. Адреса везде (в том числе - для своих ресурсов) - с адресом сервера. Для загрузки аватарок всего лишь установлен loadPolicyFile==true.

Хочу предупредить, что у контакта тоже не все гладко. Для "default" аватара он дает ссылку для которой нет правильной записи в crossdomain. И если вы все будете делать честно, доступа к контенту у человека, не загрузившего аватарку, вы все равно не получите.

Как вариант - многие могут просто Loader на сцену добавлять.