Проблемы безопасности ВКонтакте

[s3dworld]

Всем доброго утра!

Решил написать игру для ВКонтакте, которая будет использовать голоса. Для передачи голосов необходимо воспользоваться специальными методами ВКонтакте, вызывать которые должен сторонний сервер. Тут проблемы нет, но есть проблема в другом - как всё это организовать безопасно?

Сразу скажу: пишу сюда, а не ВКонтакт, потому что там у меня не получается создать тему в группе разработчиков. Пробовал с двух браузеров (Internet Explorer 8 и Mozilla Firefox 3.6.3), но при нажатии на кнопку Создать тему, тема не создаётся.

Собственно интересует следующее: вот скажем у меня приложение находится по адресу http://vkontakte.ru/app1860156. Когда кто-то из пользователь заходит по этому адресу, ему предлагается добавить приложение к себе на страничку. И когда он уже запускает приложение со своей странички, то адрес скажем такой http://vkontakte.ru/app1860156_63143359.
Собственно вопрос: приложение всегда хранится в одном и том же месте и другие пользователи используют только ссылки, или при добавлении к себе на страничку пользователь просто копирует к себе Flash'у и получается что сколько игроков, столько Flash'ек и столько разных мест для запуска?

И очень важная ситуация: кто-бы и откуда не запускал приложение, любую Flash'у можно декомпилировать и узнать по какому адресу она осуществляет запрос к PHP-скрипту, который переводит голоса на указанного пользователя. То есть получается, что можно декомпилировать приложение, создать новое использующее сторонний сервер (мой же), куда программа будет передавать данные кому нужно положить голоса. Меня эта ситуация не радует. Есть конечно выход, скажем файл безопасности (манифест) crossdomain.xml:

<?xml version="1.0"?>
<cross-domain-policy>
  <allow-access-from domain="*.vkontakte.ru"/>
</cross-domain-policy>

Но тут только сказано что любая Flash'ка сможет осуществлять запросы к моему серверу. Думал если бы Flash'ка всегда хранилась по определённому адресу (скажем: http://vkontakte.ru/app1860156), я бы просто написал:

<?xml version="1.0"?>
<cross-domain-policy>
  <allow-access-from domain="http://vkontakte.ru/app1860156"/>
</cross-domain-policy>

И пускай декомпилируют и прочее, но никто бы голоса уже не перевёл. Но вот на первый вопрос я ответа не знаю, поэтому рано делать выводы.

Подскажите, пожалуйста, какими способами можно обезопасить себя от стороннего вызова скриптом и вообще дайте советы по безопасности.

Заранее, огромное спасибо!

[udaaff]

auth_key проверяйте у себя на сервере, чтобы удостовериться в подлинности пользователя.
А куда какие запросы идут можно и без декомпиляции узнать.

При чем тут, вообще, файл безопасности, что-то не понял ничего.

[s3dworld]

Ну а можно как-нибудь на сервере запрещать выполнение скриптов, если они были вызваны не с того адреса, который я буду указывать?

[udaaff]

Не занимайтесь ерундой.

[Mr_Smitt]

Если по декомпиляции паришься то используй абфускатор, тогда несмогут..
А что касается запросов то поддержу udaaff'а их все видно в Charles.. при желании можно перехватить запрос и подредактировать его..

[AlexanderKai]

Запросы можно шифровать.