Chrome瀏覽器：「--allow-file-access-from-files」的安全含義

開發過程中，爲了讓Chrome瀏覽器引用本地存儲的JavaScript和XML樣式表，必須使用--allow-file-access-from-files開關啓動瀏覽器。Chrome瀏覽器：「--allow-file-access-from-files」的安全含義

顯然，此「本地文件可訪問性」並非默認的Chrome「出於安全原因」行爲。 準確地說，允許這樣做的安全含義是什麼？

我想不出任何沒有做作的東西！

來源

2015-03-31 Geeb

見here：

默認情況下，文件：//的URI無法讀取其他文件：//的URI。對於需要舊測試行爲的開發人員，這是一個覆蓋。

基本上這意味着如果您在本地保存HTML文件，此設置允許任何JavaScript讀取其他file:// URIs。如果您有時運行本地HTML內容（通過雙擊文件系統上的HTML文件），惡意文件可能會從本地計算機讀取文件並通過網絡將其發送到攻擊者的網站。

在線瀏覽中似乎沒有任何額外的安全風險，因爲它似乎隻影響通過file方案加載的頁面。

來源

2015-04-02 08:22:41 SilverlightFox

好的，所以你在說，默認情況下，瀏覽器中打開的HTML文檔，源自本地文件系統，不能隨後引用其他本地文件。允許這意味着在本地瀏覽器中打開時，潛在的惡意製作的HTML + JS頁面可能會丟失到文件系統的某個位置，從而可能會將敏感本地文件的內容提交給外部實體。 – Geeb 2015-04-02 13:02:11

是的，這很好地概括了它。 – SilverlightFox 2015-04-02 13:04:59

據推測，源自任何地方，本地或web的文檔在默認情況下不應該有權訪問本地文件：///資源。 – Geeb 2015-04-02 13:06:55

Chrome瀏覽器：「--allow-file-access-from-files」的安全含義

回答

相關問題