五大解決方案

1. Flash Player 全域安全設置（僅限本地開發測試）

• Flash IDE：文件→發布設置→Flash 標籤→「僅限本地檔案」/「僅限網路」。選「僅限網路」可訪問網路資源，但本地測試會受限。
• 控制面板→Flash Player→高級→受信任位置設定→添加本地專案目錄（開發機專用，不適用部署環境）。

2. ActionScript 代碼放寬權限

// AS2
System.security.allowDomain("*");
System.security.allowInsecureDomain("*");

// AS3
import flash.system.Security;
Security.allowDomain("*");           // 允許所有域 SWF 腳本互訪
Security.allowInsecureDomain("*");   // 允許 HTTPS SWF 載入 HTTP 資源（不推薦生產環境）

注意：AS2 無 flash.system 包，切勿照抄 AS3 寫法。僅允許特定域時將 * 替換為 "a.com", "b.com"。

3. HTML 嵌入參數允許腳本互訪

<param name="allowScriptAccess" value="always" />
<embed ... allowScriptAccess="always" />

always：允許 SWF 與頁面 JS 雙向通信。sameDomain（預設）：僅同域。never：禁止。

4. 跨域策略文件 crossdomain.xml（核心方案）

置於**被訪問資源所在服務器的根目錄**（如 b.com/crossdomain.xml）：

<?xml version="1.0"?>
<cross-domain-policy>
    <allow-access-from domain="www.a.com" />
    <allow-access-from domain="a.com" />
    <allow-access-from domain="192.168.1.100" />
    <!-- 允許所有域：<allow-access-from domain="*" /> -->
</cross-domain-policy>

Flash 載入資源前會自動請求此文件。若策略文件不在根目錄，可主動載入：

Security.loadPolicyFile("https://b.com/subdir/crossdomain.xml");

5. 瀏覽器差異與除錯技巧

• IE 識別 <object> 標籤；Firefox/Chrome 識別 <embed> 標籤 → **兩者皆須設置 allowScriptAccess="always"**。
• 常見錯誤 "... is not a function" 排查：
  ① ExternalInterface.addCallback 是否成功註冊？
  ② allowScriptAccess 是否 always？
  ③ **SWF 是否完全載入完成** 再調用 JS？（最常見：過早調用）。
• 錯誤 "Error calling method on NPObject"：
  ① 跨域策略問題（參考方案 4）。
  ② AS 函數內部拋出異常（加 try-catch 定位）。

最佳實踐清單

1. 生產環境**嚴禁** allowDomain("*") 與 domain="*"，嚴格白名單制。
2. HTTPS 站點資源全走 HTTPS，避免 allowInsecureDomain。
3. 跨域策略文件放置於**資源服務器根目錄**，並設置正確 Content-Type: text/xml。
4. 動態載入策略文件（Security.loadPolicyFile）需在**首次資源請求前**調用。
5. 本地開發配置「受信任位置」，部署環境走正規策略文件流程。