Aloha ;)
Solange das Ding strikt in seiner Sandbox sitzt ist das kein größeres Problem als dass JS standardmäßig aktiv ist. Oh ich denke da fällt schnell jemandem ein dass die Klicken-statt-denken Zielgruppe das unbedingt auch mit Dateizugriff und Übernahme des Verstandes braucht, dann ist das schnell aus der Box draußen ;-)
Auch in einer Sandbox ist es möglich, bewusste (nicht-willkürliche) Dateizugriffe zu ermöglichen; da der Bytecode immer noch im Rahmen des Browsers ausgeführt wird, regelt letztlich der Browser, wie mit der Anwendung kommuniziert wird - ähnlich wie es für JavaScript jetzt schon der Fall ist. Es spricht nichts dagegen, Datei-öffnen oder Datei-speichern-Dialoge via Browser zu ermöglichen und das ist dennoch sehr weit weg vom willkürlichen Dateizugriff außerhalb der Sandbox.
Grüße,
RIDER