如何防止JavaScript源代码被查看？

1. 通过HTTP Referer检查（后端实现） #

这就是你提到的检查调用来源的核心方案——通过验证请求的Referer请求头，只允许来自自身域名的请求访问JS文件，直接访问（Referer为空或非本站域名）则返回403禁止访问或跳转至指定页面。

Nginx配置示例 #

location ~* \.js$ {
    valid_referers none blocked yourdomain.com *.yourdomain.com;
    if ($invalid_referer) {
        return 403;
        # 也可设置跳转至首页：return 301 https://yourdomain.com;
    }
}

Apache配置示例 #

在站点根目录的.htaccess文件中添加：

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?yourdomain.com/ [NC]
RewriteRule \.js$ - [F,L]

2. 前端辅助加固（可选） #

单纯的Referer检查存在被伪造的可能，配合以下操作可进一步提高门槛：

• 使用Terser、UglifyJS等工具对JS代码进行混淆压缩
• 将核心逻辑拆分至多个文件，或用自执行匿名函数包裹关键代码

注意事项 #

• 部分浏览器或代理会禁用Referer头，这种场景下直接访问会被拦截，可根据业务需求调整规则（比如允许空Referer，但会降低防护力度）
• 无法彻底阻止技术能力较强的用户获取JS代码，以上方案仅用于增加非授权获取的难度

内容的提问来源于stack exchange，提问作者user3152018