浏览器禁止HTML直接运行EXE以防恶意操作，需通过自定义协议、Electron类桌面应用或本地服务代理等方案间接实现，且均需用户参与或特定环境支持。
HTML 本身无法直接运行 EXE 文件，这是浏览器安全机制决定的——出于安全考虑，现代浏览器（Chrome、Firefox、Edge 等）完全禁止网页通过 JavaScript 或 HTML 直接调用本地可执行程序。所谓“HTML 运行 EXE”，实际需要服务端配合、特定环境或用户主动授权，不存在纯前端一键点击就运行本地程序的通用方案。
为什么浏览器不允许 HTML 直接运行 EXE
这是核心前提，必须明确：
- EXE 是 Windows 本地程序，运行它等于获得系统级权限，极易被用于恶意操作（如删文件、窃数据）
- 所有主流浏览器都禁用
window.open("file:///C:/xxx.exe")、location.href="file://..."或ActiveXObject等调用方式 - 即使本地双击 HTML 文件（file:// 协议），浏览器仍会拦截，控制台报错或静默失败
可行的替代方案（需用户参与或服务端支持）
如果确实需要从网页触发本地程序，以下是几种真实可用、但各有前提的方法：
-
注册自定义协议（推荐给内网/企业场景）：在 Windows 上注册一个类似
myapp://open?param=1的协议，安装时把 EXE 关联到该协议；网页中用<a href="myapp://open">启动程序</a>。首次点击会弹出系统确认框，用户点“是”后启动对应程序。 -
Electron / Tauri 桌面应用：用 HTML+JS 构建桌面软件（非浏览器），通过 Node.js 调用
child_process.exec()安全运行本地 EXE。适合开发内部工具或客户端软件。 -
本地 HTTP 服务 + 后端代理：用 Python/Node.js 启一个本地服务（如
http://localhost:3000/run），网页发请求，服务端用系统命令执行 EXE（仅限可信环境，且需用户提前运行该服务）。 -
IE 旧版（不推荐）：仅 IE6–8 在启用“低安全级别”且关闭“保护模式”时，可能通过
ActiveXObject("WScript.Shell")执行，但已淘汰，存在极高风险，切勿用于生产环境。
常见误区与警告
网上很多“HTML 调用 EXE 教程”实际无效或误导，注意避开：
立即学习“前端免费学习笔记（深入）”；
- ❌ 写
<script>new ActiveXObject("WScript.Shell").Run("xxx.exe")</script>—— 现代浏览器直接报错，Edge/Chrome 已彻底移除支持 - ❌ 把 EXE 放服务器上，然后用
<a href="/xxx.exe">下载</a>—— 这只是下载，不是“运行” - ❌ 声称“加个 meta 标签就能绕过安全限制” —— 浏览器安全策略由底层实现，HTML 标签无法覆盖
- ⚠️ 任何要求用户“降低浏览器安全设置”的做法，都极大增加木马和勒索软件风险
基本上就这些。想让网页“启动本地程序”，本质是跨域权限问题，没有银弹。优先考虑自定义协议或转为桌面应用，既可控又相对安全。
