javascript-obfuscator 5.6.0：Pro 回退与字符串编码

当天发生了什么

2026-08-23 05:17（UTC），javascript-obfuscator 在 GitHub 发布了 5.6.0（两天前的 2026-08-21 刚发布 5.5.1）。发布说明只有两项：一是当 vmObfuscation 和 parseHtml 这两个 Pro 功能都未启用时，obfuscatePro 改为使用基础的本地混淆 API，而不再抛出 ApiError；二是改进了 stringArrayEncoding 的运行时性能。这是一个变更很少的版本，但两项改动都与构建流水线和运行时成本直接相关，适合用来复查前端、Electron 或混合应用中 JavaScript 保护的配置方式。

对保护应用逻辑意味着什么

第一项改动意味着：过去会因配置不完整而报错失败的构建，现在会正常产出结果，只是用的是基础混淆。对使用者来说更友好，但流水线若默认「调用了 Pro 接口就等于用了 Pro 功能」，就可能在不知情的情况下降级。第二项改动降低了启用字符串数组编码的运行代价，但不改变它的本质：字符串在客户端运行时被解码，代码需要用到的任何值最终都会在运行时出现。因此它能提高静态阅读成本，却不适合保护 API 密钥或授权规则。

可以做的检查

在 CI 中明确记录每次构建实际使用的混淆选项，并对产物做简单断言，确认预期的变换确实生效，而不是只检查命令是否成功。锁定混淆器版本，升级时对比产物体积和启动时间。混淆后的包要跑完整的端到端测试。无论是否启用字符串编码，都不要把密钥、内部接口凭据放进前端或 Electron 包，相关校验移到服务端。把混淆器当作普通构建依赖对待：每次升级前阅读发布说明，并记录决定。

行动清单

• 在 CI 中记录并断言实际生效的混淆选项
• 锁定混淆器版本并对比升级前后产物
• 不在前端或 Electron 包中放置密钥