[FINoM]

это ты их так можешь обойти, а злоумышленник как?

А как? Я как раз этим вопросов задался недавно. Как разрешить одним серверам работать с данными через php и разрешить пользоваться данными с помощью ajax пользователям зашедшим на домен, и как запретить ajax с неразрешенных доменов и получение данных со стороны неразрешенного сервера? Про ajax всё понятно, используем Access-Control-Allow-Origin, а вот ограничение на получение данных со стороны сервера я не знаю как реализовать (учитывая пункт об ajax). Чтоб было проще разобраться в том, что я хотел бы реализовать, вот некоторая структура задачи:

Сервер A (a.com) - поставщик данных
Сервер B (b.com) - один из серверов который имеет право на доступ к данным
Сервер E (e.com) - не имеющий доступа к данным.

Пытаюсь придумать, как реализовать поддержку всех пунктов вместе:
1. Дать возможность пользователю, зашедшему на b.com использовать данные с сервера a.com через ajax
2. Разрешить серверу b.com получать данные на стророне сервера, например с помощью php
3. Запретить пользователю, зашедшему на e.com пользоваться данными, которы поставляет a.com
4. Запретить серверу e.com получение данных со стороны сервера

отключили из-за определенной уязвимости

Если я не ошибаюсь, в хроме уже достаточно давно работают сокеты и никому от этого плохо еще не стало.

это другие сокеты

Эм.. А какая разница? Используется ведь один протокол, просто там реализация в браузере нативная, а там через флеш.

Или тебя смущает, что javascript не может самопроизвольно получить доступ к любому файлу на клиенсткой машине?

Нет. Причем здесь это?