javascript-obfuscator 5.8.1：修复语义改变的缺陷

当天发生了什么

2026-09-30 09:16（UTC），javascript-obfuscator 在 GitHub 发布了 5.8.1。发布说明只有两条修复。第一，transformObjectKeys 会使作为默认参数的对象在多次调用之间被共享，已修复（#1455）。第二，controlFlowFlattening 会破坏 &&、|| 与 ?? 的短路求值，已修复（#1456）。两者都属于语义层面的缺陷：开启相应选项后，混淆后的代码行为可能与源码不同。这距离 2026-09-20 的 5.8.0 发布仅十天。发布说明没有写明受影响的起始版本，因此近期构建中启用过这些选项的团队，应自行核对发布历史，而不是默认没有受到影响。

对混淆实践意味着什么

混淆的前提是「只改变可读性，不改变行为」，而这次的两个修复恰好说明这个前提并不总是成立。短路求值常被用来做空值保护，例如先判断对象存在再访问属性；如果右侧表达式在不该执行时被执行，就可能出现只在混淆构建中才有的异常，或者执行了本应被跳过的逻辑。默认参数对象在调用之间被共享，则可能让本应独立的状态互相串扰，这类问题往往难以复现。对用混淆保护前端、Electron 或混合应用的团队来说，真正的风险在于：这类缺陷只出现在发布构建里，而日常开发和单元测试跑的是源码。这不是否定混淆，而是说明混淆属于会改变产物的构建步骤，需要像编译器升级一样对待。

可以在自己的构建上做的检查

第一，如果启用了 controlFlowFlattening 或 transformObjectKeys，尽快升级到 5.8.1，并回顾此前线上版本是否出现过只在发布构建中才有的异常。第二，把端到端测试或集成测试改为针对混淆后的产物运行，而不仅是源码。第三，补充针对性测试用例，覆盖带有 &&、|| 与 ?? 的空值保护，以及使用默认参数对象的函数被多次调用的场景。第四，锁定混淆器版本，把升级当作需要回归测试的变更。第五，为每个版本保留未混淆的构建，收到问题报告时可以直接对比两者的行为差异。

行动清单

• 启用相关选项时升级到 5.8.1 并回顾线上异常
• 让端到端测试针对混淆后的产物运行
• 补充短路求值与默认参数对象的测试用例