大家认为浏览器会加入一些新特性防止前端代码被逆向吗

[godblessumilk]

前端代码毫无安全性可言，打开浏览器开发者工具，什么底裤都能看到。即使是压缩混淆过的前端线上代码，也可以通过逆向后审计，找出可利用的业务逻辑漏洞，这导致 http/https/websocket 应用的安全性几乎完全依赖于后端。

新版本安卓的 apk 打包发版时可以开启防抓包，大大提高了安卓应用被逆向破解的难度。

大家认为未来的浏览器会加入 [生产环境代码不可见] 这个新特性吗？线上环境光明正大地让前端代码裸奔，除了能方便复现线上 bug，我想不到有什么好处

[codehz]

（其实已经有了，只是使用成本比较高）
DRM 技术就是干这个的。。。

[BeautifulSoap]

WebAssembly 不就行么，虽说它不是拿来防止逆向的，但你用其他语言编译出来的 wsm 文件的确没有一定的技术和相当的耐心不好逆向。而且有了 wsm 的话，加壳之类的操作也可以上了，让逆向程度从原本的谁都可以试试，提升到类似二进制可执行程序逆向的的难度

[raaaaaar]

开源万岁！自由万岁！

[546L5LiK6ZOt]

要保证代码安全性，感觉只能用远程桌面的思路，浏览器只接收图形渲染信息

[janxin]

@ysc3839 我的意思是这种特定运行时依赖的东西注定会被扫进历史的垃圾堆…

[love]

apk 防抓包是什么意思？可以防查看网络请求？这也可以实现？

[cyrbuzz]

@love https 的请求只认打包 apk 时一起打包的证书，其他证书都不认可(fiddler, burp 等)。

[KINGOD]

>新版本安卓的 apk 打包发版时可以开启防抓包
请问这个指的是什么？是说 Android P 里的 “只允许 HTTPS 协议，不允许 HTTP” 吗？还是其他的什么额外配置？

[Jirajine]

@cyrbuzz 那也没用，我可以 hook 拿到密钥，不加证书照样能解密。

[Maskeney]

敏感内容加密❎️
固定证书防抓包✅️

喜闻乐见又一个把 https 当防客户端加密用的

[love]

@cyrbuzz 这样实现的啊。别人无法从打包文件中提取出证书吗

[learningman]

@Rheinmetal Wasm 可以传入函数给程序用，所以拥有所有 API.

[learningman]

@love 不能，他说的是证书装订，可以杜绝 MITM 。
可是人家抓不了你的包，直接 hook 应用还是能拿到信息啊。。。感觉用处不大。

[iceheart]

browser 端代码必须得暴露在阳光下，不然的话如何能得到用户的信任，有程序干坏事了，咋定位是谁干的？
想隐藏代码就去搞 c/s 的好了

[cz5424]

同楼上，远程桌面，估计只有这一条路

[yitingbai]

永远不可能的, 就拿你的例子安卓 apk 来说, 我自己 clone 安卓源码, 自己编译系统, 再运行你的加密 apk, 你能防得住? 所以这就是无意义的事情, 还不如让前端代码更透明, 开发更方便

[geekvcn]

Adobe，微软 ，苹果算不算大厂，算不算牛逼，他们的软件和系统都被破解，所以现在都搞订阅制和云端化了，让部分功能依赖云端

[CrazyRundong]

@dingwen07 #5 浏览器开源反而是最不用担心的问题，现代加密算法的安全性来自于密钥而不隐藏算法本身。openssl 不也是开源的嘛

[abc612008]

"这导致 http/https/websocket 应用的安全性几乎完全依赖于后端"这不是常识吗？你安全机制都部署在前端？
永远假设前端是不可信的。Security through obscurity 不可取

[Atom931989614]

web 端页面都要凉了吧