> А как нужно было поступить?

использовать плагин от адоба, не?

Ах, да, да, он же npapi, запретить-запретить. Ну вот и жрите.

> Вызывать неизвестное приложение на стороне пользователя

известное приложение.
> которого у него может и не быть?

которое ему в этом случае предлагается скачать, причем без js и прочих пищалкоперделок - семантика встроена в html с 96го года.

> Может быть скачивать и пусть пользователь сам разбирается?

именно так. При этом у пользователя, всерьез опасающегося за свою приватность, плагина не будет, и проблем тоже. Остальных все равно вые..т, кстати, это и к вам, молодой человек, относится.

P.S. обратите, кстати, внимание - это решение в результате радостно подхватили хромой и йож - и что-то вот нет у них толп уязвимостей в этом месте. Возможно потому, что они это сделали не на html5, единственном знакомом девелоперам мурзилы язычке?