作者： lcx

最近看了两篇文章，一篇是 Google Chrome使用ajax读取本地文件漏洞 ，另一篇是 本地执行ajax的权限问题 ，对此我有一点自己的想法，我认为这都不算是安全问题，好像这两篇文章没有对本地html的权限有足够的了解。

举两个例子，一个是 html读出本地txt内容 ，一个是 html操作本地数据库 ，关键是用户允许执行本地的js了。

如果还不清楚html权限有足够大的话，请执行C:\WINDOWS\pchealth\helpctr\System\sysinfo下面的相关 的html，如C:\WINDOWS\pchealth\helpctr\System\sysinfo\sysinfosum.htm，你就有足够的了 解。

如果有了用户执行本地active权限的操作，对IE来讲是不分浏览器的版本的，像 html读出本地txt内容 同样在IE8下就适用（win7+ie8以及xpsp2+ie7测试通过）。所以我认为空虚浪子心发的一会对这个浏览器测试一会对那个浏览器测试ajax读本地内容，以及xeye团队对这个议题研究的意义不大，本身是允许用户执行了本地js了。

如果没有提示来执行的话，才算是安全问题。举个例子，像ms06014网马在xp系统上补丁打了，你本地执行ms06014网马，如果一步一步允许所有执行都同意的话，它同样是可以执行的。

一家之言，希望以上两篇文章的作者不要骂我。