javascript-obfuscator 5.8.0：混淆配置可来自远程预设

当天发生了什么

2026-09-20 20:23（UTC），javascript-obfuscator 在 GitHub 发布了 5.8.0。发布说明列出两项变化。第一，Pro API 支持自定义预设：optionsPreset 选项可以填写在 obfuscator.io 控制台中保存的预设别名；调用 obfuscatePro()，或在命令行使用 --pro-api-token 时，工具会拉取该预设并把其中的选项合并进当前配置。第二，命令行修复：在设置了 --pro-api-token 的情况下，把 vm-default 这类 VM 预设名传给 --options-preset，不会再在本地报错，而是把名称交给 Pro API 处理。这次发布没有提到新的混淆变换，主要改变的是配置从哪里来、如何合并。

对构建与保护边界意味着什么

对用 JavaScript 混淆来提高前端、Electron 或混合应用逆向成本的团队来说，这个变化的影响在工程侧。过去，混淆选项通常写在仓库里，审查代码就能知道发布物经过了哪些变换；使用远程预设后，实际生效的配置部分存放在外部控制台中，并在构建时合并，仓库本身不再完整描述变换过程。这带来几个问题：同一提交在不同时间构建，结果可能因为控制台预设被修改而不同；构建依赖网络服务和 API 令牌，令牌本身也成为需要保护的秘密；出现线上问题时，需要知道当时到底用了哪些选项。也要记住，混淆提高的是阅读成本，并不能让放在前端的密钥或核心规则变成秘密。

可以落实的检查

第一，如果采用远程预设，在构建日志或产物元数据中至少记录预设别名、混淆器版本和构建时间；若工具或你的封装脚本能输出合并后的最终配置，就一并归档，但不要写入令牌。第二，把 API 令牌放在 CI 的密钥管理中，不要写进 package.json 脚本或提交到仓库。第三，固定混淆器版本，并在每次修改预设后，对混淆后的产物而不是源码运行完整测试。第四，准备离线回退方案：明确在 API 不可用时是暂停发布，还是使用仓库内的本地配置。

行动清单

• 在构建记录中保存预设别名、混淆器版本与构建时间
• 把 Pro API 令牌放入 CI 密钥管理，不写入仓库
• 修改预设后对混淆产物运行完整测试