Защита от запуска не из приложения

[bulavka]

Добрый день, заинтересовался, кто-нибудь вообще защищается от того, что IFrame приложение могут запустить не из приложения, а на прямую из браузера, словив необходимые параметры.
Расскажите, как вы от этого защищаетесь

[caseyryan]

Зачем это вообще? Смысл кому-то запускать его не из контакта если все равно туда передадутся его же параметры? Это чрезмерная забота о безопасности.
Но если уж надо, то можно, к примеру, запросить адрес страницы, с которой он запущен через внешний интерфейс, и сравнить с захардкоженным url своего приложения

if (ExternalInterface.available) {
   var myURLs:Array = ["http://vk.com/app777", "https://vk.com/app777"];
   var url:String = ExternalInterface.call("window.location.href.toString");
   if (myURLs.indexOf(url) < 0) {
       // тут код, который посылает этого кулхацкера на все 4 и рубит дальнейшее исполнение
   }
}

[bulavka]

Ну тогда уж так надо, мне кажется.

if (ExternalInterface.available) {
   var myURL:String = "://vk.com/app777";
   var url:String = ExternalInterface.call("window.location.href.toString");
   if (url.indexOf(myURL) == -1) {
       // тут код, который посылает этого кулхацкера на все 4 и рубит дальнейшее исполнение
   }
}

[caseyryan]

Ну тогда уж так надо, мне кажется.

Что нужно делать, когда кажется?)
На самом деле я неспроста написал именно с массивом. Если написать так:

url.indexOf(myURL) !=1

То юзер не сможет запустить приложение, если, к примеру, в нем будет добавлено упрощенное имя, вместо
app777 будет, скажем, http://vk.com/supergame а в массив можно затолкать все возможные варианты. Часто бывает так, что ссылка на приложение, где-то на стене будет обычная, а в каталоге или в меню слева упрощенная

[bulavka]

а как же ссылки типа vk.com/app777_123, vk.com/app777#hash?)
На них ведь будет ругаться, если я не забыл, как работает indexOf в данном случае

[caseyryan]

Тут можно комбинировать 2 способа. Главное что в одной строке не получится все держать

[bulavka]

window.location.href.toString возвращает адрес моего IFRAME приложения, то есть не vk.com/app..., а http://mysite/app.php....
Кажется, нужно что-то

PHP код:

$_SERVER['HTTP_REFERER']) 


[caseyryan]

Можно просто сделать привязку к vk api, и толку от запуска с отдельного сайта не будет. Там все равно не будут вызываться контактовские методы

[bulavka]

Ну да, тоже склоняюсь к такому решению, в старой версии приложения именно это и не позволяло запускать откуда не следует.

[undefined]

смотреть надо
document.referrer т.к. Фейсбук, например, не дает доступа ко всему что за пределами IFrame приложения находится. Как с ВК не знаю,думаю так же.