Fatal编程技术网
  • security/
  • Security Chrome浏览器：“Chrome浏览器”的安全含义--允许从文件访问文件”；

Security Chrome浏览器：“Chrome浏览器”的安全含义--允许从文件访问文件”；

security google-chrome

Security Chrome浏览器：“Chrome浏览器”的安全含义--允许从文件访问文件”；,security,google-chrome,Security,Google Chrome,在开发过程中，要允许Chrome浏览器引用本地存储的JavaScript和XML样式表，必须使用--允许从文件访问文件开关启动浏览器 显然，出于“安全原因”，这种本地文件可访问性不是默认的Chrome行为允许这样做会带来什么样的安全影响？ 我想不出有什么不是人为的 见： 默认情况下，file://URIs无法读取其他file://URIs。这是一个 重写用于需要旧行为进行测试的开发人员 基本上，这意味着如果在本地保存HTML文件，此设置允许任何JavaScript读取其他文件：//URI。如果有

在开发过程中，要允许Chrome浏览器引用本地存储的JavaScript和XML样式表，必须使用
--允许从文件访问文件
开关启动浏览器

显然，出于“安全原因”，这种本地文件可访问性不是默认的Chrome行为允许这样做会带来什么样的安全影响？

我想不出有什么不是人为的
 见：

默认情况下，file://URIs无法读取其他file://URIs。这是一个
重写用于需要旧行为进行测试的开发人员

基本上，这意味着如果在本地保存HTML文件，此设置允许任何JavaScript读取其他
文件：//
URI。如果有时运行本地HTML内容（通过双击文件系统上的HTML文件），恶意文件可能会从本地计算机读取文件并通过web将其发送到攻击者的站点


在线浏览似乎没有任何额外的安全风险，因为它似乎只会影响通过
文件
方案加载的页面。
好的，那么您的意思是，默认情况下，在浏览器中打开的HTML文档（源自本地文件系统）不能随后引用另一个本地文件。允许这样做意味着，当在本地浏览器中打开文件系统中的某个位置放置恶意创建的HTML+JS页面时，可能会将敏感本地文件的内容提交给外部实体。是的，这很好地概括了这一点。据推测，默认情况下，来自任何地方（本地或web）的文档都不应，可以访问本地文件：///资源。是的，没错。如果允许的话，这将是一个巨大的安全漏洞。