Ob man nun aus einer Webseite heraus auf eine file://-URL oder auf eine http://localhost-URL verweist sollte relativ egal sein. Wenn der Browser vernünftig konfiguriert ist, sollte er auf keinen Fall ganz ungefragt in Webseiten eingebettete Objekte zulassen, die auf URLs einer anderen Domain als der der Seite selbst verweisen. Allerdings ist nicht jede Standardbrowserkonfiguration vernünftig und es gibt außerdem im Allgemeinen die Möglichkeit, für Fälle wie den hier diskutierten Ausnahmeregelungen einzutragen.

Vielleicht sollte man sich auch überlegen, ob in eine eigens für den Zugriff auf den betreffenden Webservice gebaute Clientanwendung nicht die benutzerfreundlichere Lösung ist, wenn man signifikante Teile der Anwendung ohnehin auf den Rechner des Benutzers auslagern möchte.