js代码混淆

把变量名从 userInfo 改成 a，代码这只是混淆混淆的幼儿园阶段。真正让代码变得没法读的代码，是混淆那些看起来像乱码的字符串和嵌套了七八层的三元表达式。我第一次打开一个经过混淆的代码 JS 文件时，编辑器直接卡了三秒——满屏都是混淆 _0x3f8a 这样的标识符，像一群蚂蚁在屏幕上列队。代码

混淆不是混淆加密。加密能还原，代码混淆不能。混淆它只是代码把代码的结构打碎，让人类读起来痛苦。混淆但浏览器不在乎，代码引擎照样执行。混淆所以有人开玩笑说，代码混淆就是把你的代码变成只有 V8 能看懂的方言。

常见的做法分几层。最外层是压缩，把空格、换行、注释全删掉，变量名替换成短字符。UglifyJS 和 Terser 干的就是这个活。这层不算混淆，顶多算瘦身。再往下，才是真正的混淆工具出场——javascript-obfuscator 这类库会把字符串转成十六进制或 Unicode 转义，把函数调用改成通过数组索引来查表，甚至插入死代码和虚假控制流。

我见过最狠的一种，叫“控制流平坦化”。原本一个简单的 if-else，被拆成 while 循环加 switch 语句，每个分支跳来跳去。你盯着屏幕十分钟，才反应过来它其实就是在判断用户有没有登录。那种挫败感，像在迷宫里找出口，而迷宫是别人故意画歪的。

字符串数组是另一个经典手段。所有字符串被抽到一个大数组里，代码里用 _0x1a2b[3] 这种方式引用。数组还可能被旋转，每次加载时顺序不一样。你就算找到字符串，也得先搞清楚索引偏移量。有个朋友做逆向，遇到这种，直接写了个脚本去跑数组旋转，跑完发现还是看不懂——因为字符串本身又被 Base64 了一遍。

但混淆不是没有代价。代码体积会膨胀，三倍五倍都正常。执行效率也会掉，尤其是那种疯狂查表的写法。更麻烦的是调试，线上报错堆栈全是 _0x4c2d，你连是哪个函数炸的都找不到。所以很多团队只在生产环境混淆，开发环境保留可读版本。

那混淆到底防谁？防的是随手打开 DevTools 想抄代码的人。真正铁了心要逆向的人，有 AST 解析、有动态调试、有 de4js 这类在线工具。混淆只是把门槛从“会复制粘贴”提高到“愿意花两小时”。对于商业闭源库来说，这两小时就是护城河。

我自己试过用 javascript-obfuscator 处理一个两百行的工具函数。默认配置下，输出文件从 4KB 变成 27KB。打开一看，变量名全成了 _0x5e1f，字符串全变成 \x68\x65\x6c\x6c\x6f。但运行结果一模一样。那一刻我理解了为什么有人说，混淆是一种行为艺术——它不改变功能，只改变阅读体验。

不过有个细节容易被忽略：混淆后的代码，注释里如果还留着 @license 或 @author，那些信息是不会被删的。我见过一个库，变量名全被碾碎，但文件头还工工整整写着“Copyright 2019 John Doe”。这大概就是程序员最后的倔强。

最后说个实用建议。如果你要混淆自己的代码，别一上来就开最高强度。先跑一遍测试，看看有没有依赖 Function.prototype.toString 的地方——有些库靠这个检测原生函数。混淆会破坏它。还有，保留 source map 给自己用，别一起发布出去。否则等于把钥匙插在锁上，还贴了张纸条写着“钥匙在此”。

很赞哦!（71）