无Flutter源码时，导出的Web代码能否修改核心逻辑？

答案是：可以。即便你交付的是flutter build web导出的编译后代码（不含Flutter源码），懂前端逆向的人依然能修改API调用、授权校验这类核心逻辑。

你自己看不懂编译后的代码很正常——Flutter Web的release版本编译默认会做这几件事：代码混淆、压缩、树摇（Tree Shaking），把原本清晰的Dart代码转换成高度精简、变量名全是无意义字符的JavaScript代码，目的就是增加阅读难度，但这不是绝对的安全防护。

具体的修改可能性 #

• 借助Chrome开发者工具的Sources面板、JS反混淆工具，有经验的开发者可以还原代码结构，定位到API地址、授权token相关的逻辑
• 他们可以直接修改编译后的.js文件，替换API域名、篡改授权校验逻辑，甚至插入恶意代码
• 就算开启了Flutter Web的混淆机制，也只是提升了逆向成本，没法完全阻止别人修改核心逻辑

安全建议（基于Flutter官方部署指南整理） #

• 绝对不要在前端硬存敏感信息：比如API密钥、私钥这类内容，一定要放在后端服务里处理，前端只做请求转发
• 开启release编译：用flutter build web --release命令编译（默认就是release模式），自动启用混淆和代码压缩，提升逆向难度
• API接口加校验：给后端接口加身份验证（比如JWT令牌），并设置短有效期，就算前端代码被篡改，无效请求也会被后端拦截
• 核心逻辑后端化：把授权校验、业务核心判断这类敏感逻辑放在后端，前端只负责展示和简单交互，减少前端暴露的风险

内容的提问来源于stack exchange，提问作者Manan Raj