AssetBundles можно распространять вместе со сборкой игры, а также загружать с удаленных серверов. При загрузке AssetBundles следует принять меры предосторожности, чтобы предотвратить повреждение данных AssetBundle, а также атаки злоумышленников. Несмотря на то, что AssetBundles не может содержать исполняемый код, изменение сериализованных данных может позволить злоумышленнику воспользоваться уязвимостью в коде игры или среде выполнения Unity.
Загрузить по защищенному протоколу
UnityWebRequest и WWW можно использовать для загрузки и кэширования AssetBundles. из Интернета. При использовании этих систем вы должны использовать протокол HTTPS в своем URL-адресе. HTTP небезопасен и уязвим для атаки злоумышленника посередине.
Контрольные суммы CRC
В процессе сборки AssetBundle создается 32-битная контрольная сумма. Когда вы предоставляете этот CRC через API загрузки AssetBundle, система загрузки вычисляет контрольную сумму AssetBundle перед его загрузкой. Если CRC AssetBundle не соответствует предоставленному CRC, AssetBundle не загрузится. Проверка CRC гарантирует, что данные AssetBundle не были повреждены или изменены после его создания.
Пользовательский контент
Если вы разрешаете пользователям загружать контент, который распространяется среди других игроков (контент, созданный пользователями), вы обязаны отфильтровать эти данные на наличие неприемлемого или вредоносного контента. Мы не рекомендуем разрешать пользователям создавать и загружать двоичные файлы AssetBundle. Предпочтительно, чтобы ваши пользователи загружали свои исходные ресурсы и позволяли вам, разработчику, создавать для них двоичный файл AssetBundle. Это облегчит вам фильтрацию вредоносного или неприемлемого контента с помощью ручных и автоматизированных процессов. Это также позволяет вам пересобрать AssetBundles по мере необходимости, если вы обновитесь до более поздней версии Unity.
