第二章 小程序代码保护：代码混淆技术、反调试机制、资源文件加密、动态加载与安全

说到小程序代码保护，我第一个想到的就是代码混淆。说白了，就是把你的源码变得面目全非，让逆向的人看得头疼。我在项目中遇到过好几次，客户觉得代码混淆可有可无，结果上线没两天就被别人扒了个干净。

代码混淆技术

代码混淆不是简单的变量名替换。它是一整套组合拳。我个人习惯用这三层：

• 标识符混淆：把有意义的变量名、函数名变成 a、b、c 这种无意义字符
• 控制流混淆：打乱代码执行顺序，插入死代码和虚假分支
• 字符串加密：把硬编码的敏感字符串加密存储，运行时再解密

举个例子，你原本的代码可能是这样：

// 原始代码
function getUserToken() {
  return "sk_live_abc123xyz";
}

混淆之后，它可能变成这样：

// 混淆后
function _0x3f2a() {
  var _0x1b = ["\x73\x6b\x5f\x6c\x69\x76\x65\x5f\x61\x62\x63\x31\x32\x33\x78\x79\x7a"];
  return _0x1b[0];
}

嗯，这里要注意。微信小程序的代码是运行在 V8 引擎上的，所以我们可以用一些 JavaScript 的混淆工具。我推荐 Jscrambler 和 JavaScript Obfuscator。不过别用太重的混淆，否则小程序包体积会暴涨。

反调试机制

反调试，说白了就是不让别人用开发者工具调试你的代码。你想想看，如果别人能直接在 Chrome DevTools 里打断点、看变量，那你的混淆再强也没用。

我常用的反调试手段有这些：

• 检测 DevTools 是否打开：通过判断窗口大小变化、console 是否被重写
• 定时器检测：setInterval 每秒检查一次，发现调试就跳转或崩溃
• 代码自校验：运行时计算自身哈希值，被修改就停止执行

来看一段反调试的示例代码：

// 反调试检测
function antiDebug() {
  const start = Date.now();
  debugger;  // 如果调试器被打开，这里会暂停
  const end = Date.now();
  
  if (end - start > 100) {
    // 检测到调试，执行混淆后的假逻辑
    return fakeData();
  }
  return realData();
}

为什么会这样？因为 debugger 语句在调试模式下会暂停执行，导致时间差变大。正常执行时，debugger 会被忽略，时间差几乎为零。

资源文件加密

小程序的资源文件，比如图片、配置文件、WXML/WXSS，这些都很容易被直接抓包获取。我建议对敏感资源做加密处理。

资源类型	加密方式	注意事项
图片	AES-256 加密	解密后缓存到本地，避免频繁解密
配置文件	RSA 加密	密钥放在服务端，小程序启动时获取
WXML/WXSS	自定义加密算法	配合代码混淆一起使用

我记得有一次，客户把 AES 密钥直接写在了 app.js 里。我一看就笑了，这跟没加密有什么区别？后来我帮他们改成了每次启动时从服务端拉取密钥，并且密钥有过期时间。

动态加载与安全

动态加载，说白了就是按需加载代码。小程序本身就有分包加载机制，但我们可以做得更安全一些。

我建议的做法是：

• 核心逻辑远程加载：把敏感的业务逻辑放在服务端，小程序只做展示层
• 代码片段动态下发：通过云函数下发加密的代码片段，运行时解密执行
• 热更新机制：绕过微信审核，直接更新小程序的部分代码

来看一个动态加载的示例：

// 动态加载加密代码
async function loadSecureModule(moduleName) {
  // 从服务端获取加密的代码
  const encryptedCode = await wx.cloud.callFunction({
    name: 'getSecureModule',
    data: { module: moduleName }
  });
  
  // 解密
  const decryptedCode = decrypt(encryptedCode, getDynamicKey());
  
  // 动态执行
  const module = new Function('return ' + decryptedCode)();
  return module;
}

动态加载还有一个好处——你可以做代码的「时效性控制」。比如某个功能只在特定时间段可用，或者某个活动页面只在活动期间加载。这样即使代码被逆向，也无法在非活动时间使用。

最后说一句，小程序安全是个系统工程。代码混淆、反调试、资源加密、动态加载，这四者要配合使用，缺一不可。别指望单一手段就能防住所有攻击。我见过太多只做混淆就觉得万事大吉的项目，结果被逆向得连底裤都不剩。

嗯，今天就先聊到这儿。下一章我们讲讲网络通信安全，那可是另一个大坑。