Доступ к файлам посетителя из браузера — как объяснить что запрещен?
Объяснить так - скинуть ссылку, перейдя по которой он увидит: Все ваши файлы теперь зашифрованы, переведите $100500 на кошелек 64578934725243457938 чтобы получить ключ для расшифровки.
Просто браузера недостаточно - установи клиенту на пк что-то типа https://docs.python.org/2/library/simplehttpserver.html и отдавай ему на локалхосте директорию, что ему нужна.