策略文件包含单个
<cross-domain-policy> 标签，该标签又包含零个或多个
<allow-access-from> 标签。每个
<allow-access-from> 标签包含一个属性
domain，该属性指定一个确切的 IP 地址、一个确切的域或一个通配符域（任何域）。可采用下列两种方式之一来指示通配符域：
后缀必须以点开头。但是，带有后缀的通配符域可以匹配那些只包含后缀但不包含前导点的域。例如，xyz.com 会被看作是 *.xyz.com 的一部分。IP 域规范中不允许使用通配符。
下面的示例显示了一个 URL 策略文件，该文件允许访问源自 *.example.com、www.friendOfExample.com 和 192.0.34.166 的 SWF 文件。
<?xml version="1.0"?>
<cross-domain-policy>
<allow-access-from domain="*.example.com" />
<allow-access-from domain="www.friendOfExample.com" />
<allow-access-from domain="192.0.34.166" />
</cross-domain-policy>
如果您指定了一个 IP 地址，则将只向使用 IP 语法从该 IP 地址（例如 http://65.57.83.12/flashmovie.swf）加载的 SWF 文件授予访问权限，而不向使用域名语法的 SWF 文件授予访问权限。Flash Player 不执行 DNS 解析。
您可以允许访问来自任何域的文档，如下面的示例所示：
<?xml version="1.0"?>
<!-- http://www.foo.com/crossdomain.xml -->
<cross-domain-policy>
<allow-access-from domain="*" />
</cross-domain-policy>
每个 <allow-access-from> 标签还具有可选的 secure 属性，其默认值为 true。如果您的策略文件在 HTTPS 服务器上，并且要允许非 HTTPS 服务器上的 SWF 文件从 HTTPS 服务器加载数据，则可以将此属性设置为 false。
将 secure 属性设置为 false 可能会危及 HTTPS 提供的安全性。特别是将此属性设置为 false 时，会使安全内容受到电子欺骗和窃听攻击。Adobe 强烈建议不要将 secure 属性设置为 false。
如果要加载的数据在 HTTPS 服务器上，但是加载数据的 SWF 文件在 HTTP 服务器上，Adobe 建议将加载数据的 SWF 文件移至 HTTPS 服务器。这样，可以使安全数据的所有副本得到 HTTPS 的保护。但是，如果决定必须将要执行加载的 SWF 文件保存在 HTTP 服务器上，则需将 secure="false" 属性添加到 <allow-access-from> 标签，如以下代码所示：
<allow-access-from domain="www.example.com" secure="false" />
另一种可用于允许访问权限的元素是
allow-http-request-headers-from 标签。此元素授权客户端（此客户端承载其他权限域的内容）向您的域发送用户定义的标头。
<allow-access-from> 标签授权其他域提取您域中的数据，而
allow-http-request-headers-from 标签授权其他域将数据以标头的形式发送到您的域中。在下面的示例中，任何域都可以向当前域发送 SOAPAction 标头：
<cross-domain-policy>
<allow-http-request-headers-from domain="*" headers="SOAPAction"/>
</cross-domain-policy>
如果 allow-http-request-headers-from 语句存在于主策略文件中，它将应用于主机上的所有目录。否则，它只应用于包含此语句的策略文件所在的目录和子目录。
