| Цитата |
|---|
| И еще не могу понять зачем файлу с плеером нужно было дать название "player" без расширения, ясное дело веб-сервер понятия не имеет, что это за content-type и автоопределение не помогает... |
Коллеги, это было сделано не без причины. Этот плеер - сторонний продукт, который мы лицензировали для распространения в составе нашего продукта. Мы не можем полностью отвечать за безопасность этого компонента. Как сам флеш, так и конкретно этот плеер могут содержать как известные, так и неопубликованные уязвимости. Мы обезопасили клиентов от потенциальных проблем, заставив браузеры не считать этот файл флеш-роликом при прямом обращении к нему.
Однако, Adobe выпустил обновление флеша, после которого плагин перестал в принципе понимать плеер как флеш при наличии заголовка X-Content-Type-Options nosniff. Т.е. они поступили формально и перестали автоматически определять тип содержимого согласно заголовку (что, в общем, большая редкость и даже неожиданность в случае adobe flash). Поэтому решением проблемы является не устанавливать этот заголовок для url плеера (и только для него!).
| Цитата |
|---|
| add_header Content-Type "application/x-shockwave-flash"; |
Вынужден предостеречь от такого решения, т.к. добавление этого заголовка возвращает нас к источнику проблемы - потенциальной небезопасности плеера. Все что необходимо и достаточно - это убрать заголовок
X-Content-Type-Options nosniff для плеера. Как это сделать, полностью зависит от конфигурации системы. В нашей виртуальной машине это сделано по умолчанию.
:
