我们正在为HTML5游戏设计在线Playground。用户可以上传包含他们游戏的zip文件。上传时,zip由服务器解压,每个文件循环检查其扩展名是否符合白名单,允许:.html.js.png.jpg.appcache.m4a.ogg(游戏必须在我们导出这些文件的游戏编辑器中制作)。这应该可以防止人们上传zip、服务器端脚本文件等。然后游戏会转移到我们的静态无cookie域(scirra.net)。在我们的scirra.com页面上玩游戏时,游戏会显示在指向scirra.net域的iframe中。这应该可以防止恶意JS访问scirra.comcookie。这个iframe技术和白名单是否