[dimarik]

так-с. поправочка.

Тестировалось при allowScriptAccess="never"

if (ExternalInterface.available) {
        ExternalInterface.call("function(){return document;}");
}

ExternalInterface.available дает правду и последующий call приводит к security error.

Так что любой вызов ExternalInterface.call лучше обернуть в try-catch потому как ExternalInterface.available не всегда прав.