javascript-obfuscator 5.4.5/5.4.6 正确性修复

当天发生了什么

2026-07-09，javascript-obfuscator 在 GitHub 上先后发布了 5.4.5（UTC 11:20）和 5.4.6（UTC 19:59）。5.4.5 修复了三个问题：controlFlowFlattening 在复用控制流包装器时，可能丢掉 foo(...args) 这类展开调用的参数（#1423）；selfDefending 让混淆后的代码在 Bun/JavaScriptCore 上慢了数倍（#1421）；for 循环初始化中、箭头函数体内 in 运算符外的括号被丢弃，导致输出无法解析（#1419）。5.4.6 修复了混淆器把用 Unicode 或十六进制转义书写的字符串字面量解码成实际字符的问题（关联 #345）。这四项修复针对的都是输出错误、变慢或不再是合法 JavaScript 的问题，而不是新的保护功能。

对保护应用逻辑意味着什么

这组修复很能说明混淆的真实代价：变换会改变代码，而改变就可能引入错误。语法错误至少会立刻暴露，最危险的是“静默”问题，例如展开调用丢参数，代码能运行，只是行为悄悄变了。性能问题则与运行时相关，同一选项在 V8 上可能没问题，在 JavaScriptCore 上却明显变慢，Electron、浏览器、React Native 或 Bun 等不同环境都需要分别验证。对 JavaScript 应用而言，混淆只能提高阅读成本，代码本身仍然随包分发，selfDefending 之类的选项也不是安全边界。决定是否使用、使用哪些选项时，应当把维护和回归成本一起算进去。

可以在自己的构建上做的检查

第一，在锁文件中固定混淆器版本，升级前阅读发布说明，确认是否涉及你启用的选项；如果使用 controlFlowFlattening 或 selfDefending，应评估升级到包含修复的版本。第二，测试要针对混淆后的产物，而不是源码：在 CI 中对最终打包结果跑端到端测试，覆盖展开参数、循环和字符串处理等路径。第三，在每个目标运行时上做基准测试，比较混淆前后的启动时间和关键操作耗时。第四，source map 只用于内部错误追踪，不要随包发布。第五，把密钥、授权判断和核心算法放到服务端，混淆只作为补充。

行动清单

• 锁定混淆器版本，升级前核对涉及的选项
• 对混淆后的最终产物运行端到端测试
• 在每个目标运行时上对比性能
• source map 不随包发布，核心逻辑放服务端