crazyhat если ваше утверждение относится к случаю, когда файл находится на другом хосте и кроссдоменные запросы туда запрещены или, если файл находится на компьютере клиента, то тогда это нужно было указать в ответе. В противном случае, ваше утверждение абсолютно безосновательно. Очень легко можно прочитать файл, если он выбран в форме (даже без предварительной загрузки!) и, как показал выше GreatRash , если есть доступ к файлу или он расположен локально.