Se hai paura che uno importi direttamente l'swf in Flash, puoi proteggerlo da importazione....però se uno è mediamente bravo riesce ad importarlo lo stesso

Non sei obbligato a fare tutto in html/php, e' importante però non passare all'swf dati sensibili, quindi user e password, o la pagina dove recarsi in caso di login avvenuto.

Di certo comunque non ti conviene mettere l'area riservata in una scena del filmato di login...al massimo va messa in un filmato esterno, nel qual caso non potrà certo essere aperto dalla cache da chi non conosce user e password