javascript-obfuscator 5.5.0：云端上传改为原始源码

当天发生了什么

2026-07-18 08:41（UTC），javascript-obfuscator 在 GitHub 发布 5.5.0。发布说明只列出一项变化：重做 Pro API 的大文件上传。具体包括：修复请求体约 4.4 至 4.6 MB 时出现的 413（Content Too Large）错误；blob 上传改为以 raw 格式直接发送原始源码，而不再包在 JSON 请求体里；上传大小应能保持在所购方案的文件大小限制之内。这是一次范围很窄的修复版本，发布说明没有提到混淆变换本身的算法或选项有任何变化。

为什么值得记一笔

这条变化揭示了一个常被忽略的事实：使用云端混淆接口时，未混淆的源码会离开你的构建环境，发送到第三方服务。这对很多团队是可以接受的，但它应当是一个有记录的决定，并按照评估代码托管或 CI 服务的同等标准来审查。另一方面，无论混淆在本地还是云端完成，Electron 或 Web 前端中的 JavaScript 最终仍以可执行形式随包分发，运行时可以被观察；混淆提高的是阅读和修改成本，而不是保密性。单个 bundle 达到数 MB 也说明桌面端前端代码体量很大，混入密钥或内部接口的概率并不低。

建议的检查

第一，列出构建链中所有会把源码发往外部服务的步骤，例如混淆、压缩、为错误上报上传 source map，并确认相应的合同与数据处理条款。第二，在混淆之前对 bundle 做密钥扫描，把 API 密钥、签名盐值和定价规则移出前端，由服务端下发短期令牌。第三，锁定混淆器版本，升级时对同一输入比较输出差异；在打包和签名之后运行完整回归测试，确认混淆既没有破坏功能，也没有被意外跳过。

行动清单

• 记录构建链中所有向外部发送源码的步骤及其数据条款
• 混淆前对 bundle 做密钥扫描并把敏感规则移到服务端
• 锁定混淆器版本，升级后比较输出并跑完整回归