17370845950

JavaScript混淆不是加密，而是通过重命名变量、打散控制流、字符串数组化等手段抬高逆向门槛；它无法阻止还原，但能促使攻击者放弃分析。

JavaScript 混淆不是加密，而是增加静态分析成本

混淆不能阻止有心人还原逻辑，但能有效抬高逆向门槛——它让 getUserInfo() 变成 _0x4a2f[0]，把嵌套的条件判断打散成无意义的布尔运算，让调试器里看到的变量名全是 a、b、_0x1234。这不是为了“防住”，而是让攻击者在「花 2 小时看懂一段登录校验」和「转头去找下一个没混淆的站点」之间选后者。

用 javascript-obfuscator 做基础混淆最实用

npm 安装后直接调用 CLI 或集成进构建流程，比手写正则替换靠谱得多，且支持多层控制。关键不是“全开”，而是按需启用：

• renameGlobals: false —— 默认会重命名全局函数（如 alert），可能破坏依赖，必须关掉
• controlFlowFlattening: true —— 把 if/else/for 转成 switch+状态机，提升可读性损耗，但运行时有轻微性能开销（约 +5% 执行时间）
• stringArray: true —— 字符串统一存进数组再通过索引取，防止关键词被 grep 出来（比如 "api/v1/login"）
• identifierNamesGenerator: "hexadecimal" —— 避免用 array1、func2 这类带语义的假名，选十六进制更“无信息”

const JavaScriptObfuscator = require('javascript-obfuscator');
const obfuscatedCode = JavaScriptObfuscator.obfuscate( function calculatePrice(base, tax) { return base * (1 + tax); } console.log(calculatePrice(100, 0.08)); , {
compact: true,
controlFlowFlattening: true,
stringArray: true,
identifierNamesGenerator: 'hexadecimal',
renameGlobals: false
});
console.log(obfuscatedCode.getObfuscatedCode());

混淆后必须做三件事，否则上线即翻车

混淆是破坏性操作，不验证就发版等于主动埋雷：

• 保留一份未混淆的 source map（仅本地存档），否则线上报错堆栈无法定位到源码行
• 在真实浏览器环境跑一遍核心流程（尤其是涉及 eval、Function 构造函数、webpack 动态 import() 的地方），混淆可能让 new Function('return ' + str) 失效
• 检查第三方 SDK 是否有白名单要求——有些支付或埋点 SDK 会检测 window 上是否存在特定函数名，混淆后名字变了就会静默失败

真正该防的不是代码，而是接口和状态

前端混淆再强，fetch('/api/user') 的请求地址、响应结构、token 放哪、鉴权怎么验，这些全在开发者工具 Network 和 Application 标签下明文可见。混淆只是把 encryptToken() 这个函数变难读，但只要它最终吐出一个字符串塞进 Authorization header，这个字符串本身依然可截获、可重放。所以重点该放在：敏感接口加二次校验、token 绑定设备指纹、关键操作服务端留痕比对——混淆只是整个防护链上最外层的一层薄纸，别把它当防弹衣用。