如何保护Electron离线应用中asar被提取后的Express代码安全？

针对你的场景的可行解决方案 #

• 代码混淆：使用Terser、JavaScript Obfuscator等工具对Express后端代码进行混淆处理——替换变量名为无意义字符、删除注释、打乱代码执行逻辑，即使asar被提取，混淆后的代码也难以被逆向解读。
• 编译为二进制可执行文件：借助pkg工具将Node.js编写的Express后端代码编译成对应平台（Windows/macOS/Linux）的二进制文件，替代原本的JS代码放入asar包中，二进制文件的逆向难度远高于明文JS。
• 核心逻辑转为原生扩展：把Express中涉及数据库操作、核心业务的关键逻辑抽离，用C/C++编写并通过node-gyp编译成Node.js原生扩展（.node文件），在Express代码中调用这些扩展。原生扩展是二进制格式，几乎无法被还原为可读代码。
• 自定义asar加密：Electron允许自定义asar资源的加载逻辑，你可以对asar文件进行加密，在应用启动时通过主进程先解密再加载资源。这种方式需要修改Electron源码或借助第三方加密工具实现，安全性更高但开发成本稍大。

Vyapar、WhatsApp、Slack这类应用的安全处理方式 #

• Vyapar：作为桌面财务应用，它将核心业务逻辑编译为二进制模块，同时对前后端代码做深度混淆，还采用了自定义的资源加密机制，从根源上降低代码被提取和解读的可能性。
• WhatsApp Desktop：Electron端仅负责前端界面渲染，核心的加密、消息处理等逻辑运行在独立的本地二进制服务进程中，主进程通过IPC与该进程通信，核心代码不会出现在asar包内。
• Slack Desktop：类似WhatsApp的架构，把协作、数据同步等核心逻辑放在独立的二进制后台服务里，Electron主进程仅做任务调度和IPC转发，asar包中仅包含前端界面和基础调度代码，核心逻辑完全不暴露。

内容的提问来源于stack exchange，提问作者Swapnil Mane