Autox.js 代码混淆与加密 webpack-autojs 保护脚本源码

脚本不想被别人看见源码？

打包成 APK 分发时，里面的 JS 源码默认是明文的——任何人解压 APK 就能看到你的脚本代码。如果你的脚本里有辛苦写出来的核心逻辑、或者不想被直接抄走，就得做混淆和加密。

三层保护

第一层：JavaScript 混淆（最简单）

webpack 打包时加 terser-webpack-plugin：

// webpack.config.js
const TerserPlugin = require("terser-webpack-plugin");

module.exports = {
    optimization: {
        minimizer: [
            new TerserPlugin({
                terserOptions: {
                    compress: {
                        drop_console: true  // 去掉 console.log
                    },
                    mangle: {
                        toplevel: true  // 混淆顶层变量名
                    }
                }
            })
        ]
    }
};

这样打出来的 JS 会变成这样：

// 混淆前（你的源码）
function calculateSigninReward(userId, days) {
    let base = 10;
    if (days > 7) base *= 2;
    return base * userId.length;
}

// 混淆后（别人看到的）
function a(b,c){var d=10;c>7&&(d*=2);return d*b.length}

变量名全成了单字母、空格全部去掉、字符串还可以编码——可读性大幅降低。

第二层：核心代码加密

webpack-autojs 插件支持对指定模块做加密。加密后的代码必须用相同密钥运行时解密——如果密钥不放 APK 里，别人拿到 APK 也解不开。

// webpack.config.js
const { AutoxWebpackPlugin } = require("autojs-webpack");

module.exports = {
    plugins: [
        new AutoxWebpackPlugin({
            encrypt: {
                // 加密密钥（自己保管好）
                key: "your-secret-key-here",
                // 指定哪些文件要加密（可正则）
                files: ["src/core/**/*.js", "src/critical.js"]
            }
        })
    ]
};

加密后的代码在 APK 里是二进制密文，运行时 Autox.js 引擎用密钥解密后再执行。没有密钥 = 看不到源码。

密钥放哪

实战建议：核心逻辑（比如付费验证、算法实现）用加密 + 远程密钥。非核心逻辑（UI、通用工具）用混淆就行。

第三层：APK 层面的 ProGuard

如果你有 Android Studio 环境，可以在 APK 构建流程里加 ProGuard/R8 规则：

# proguard-rules.pro
-keep class org.autojs.** { *; }
-dontwarn org.autojs.**
-keepclassmembers class ** {
    @android.webkit.JavascriptInterface <methods>;
}

ProGuard 会进一步混淆 APK 里的 Java/Kotlin 代码和资源，让反编译更困难。

限制与现实

没有 100% 防破解——Autox.js 脚本本质还是要在 JS 引擎里执行，只要有人愿意花时间逆向、或者 Hook 运行时环境，总有办法拿到逻辑。

保护的正确心态是：

开源还是闭源？

项目规则里有 MPL v2 + 非商业附加条款——Autox.js 本身开源，但你写的脚本可以不开源。如果脚本是你自己写的，混淆和加密是你的权利。

总结