如何在不泄露源代码的前提下售卖Chrome扩展？

一、代码保护：防止本地扩展泄露核心逻辑 #

• 核心功能云端托管：把扩展的核心业务逻辑（比如数据处理、核心算法、付费校验）封装成后端API，本地扩展只保留UI交互和API调用代码。这样就算客户拿到crx/zip文件并解压，也只能拿到无实际业务价值的壳，核心逻辑完全在你的服务器上，无法窃取。
• 前端代码混淆：对本地的JS、CSS代码用专业工具（如Terser、JavaScript Obfuscator）做混淆处理——打乱变量名、删除所有注释、插入无意义代码，大幅提升逆向破解的难度。注意manifest.json的必填字段不能混淆，否则扩展无法正常加载。
• 授权绑定机制：用自己的私钥签名crx文件，同时在扩展中加入授权验证逻辑：扩展启动时向你的服务器发送设备标识（比如Chrome的唯一机器ID）和客户购买时获得的授权码，服务器验证通过后才允许扩展正常运行。未授权的crx即使被篡改，也无法激活功能。

二、安全分发：绕过Chrome商店快速交付 #

• 搭建简易私有分发页：做一个简单的网页后台，客户付费后自动生成唯一授权码，同时提供签名后crx文件的下载入口（仅持有有效授权码的用户可访问）。
• 引导手动安装：Chrome支持手动安装已签名的crx文件，只需告诉客户开启「开发者模式」，然后把crx文件拖入扩展管理页面即可，操作简单快捷。
• 加密压缩包交付：针对偏好本地文件交付的客户，把签名后的crx用AES加密打包，付费后发送加密包和解密密码，密码可与授权码绑定，确保只有付费用户能解密安装。

三、分层收费：区分源码与非源码版本 #

• 非源码版本（基础版）：交付上述经过云端化、混淆、授权绑定的crx文件，收费较低。明确告知客户该版本仅授予使用权，不提供任何源码。
• 源码版本（高级版）：收取更高费用，交付前必须和客户签订保密协议（NDA），明确禁止客户泄露、转售或修改后商用源码。交付时用加密压缩包发送完整源码，若客户要求核心逻辑也本地化，可进一步提高收费并在协议中明确版权归属。

内容的提问来源于stack exchange，提问作者HavanaSun