如何防止Flutter Web应用中的REST URL被调试工具查看？

首先得明确：完全阻止调试工具查看请求URL是做不到的——因为浏览器发起的网络请求必然会经过网络层，抓包工具能直接拦截到实际请求地址。但我们可以通过一些手段避免前端代码中直接暴露真实REST地址，或者降低地址被轻易获取的可能性：

• 用后端代理转发请求
  这是最有效的方式。搭建一个中间代理服务，Flutter Web只向代理地址发送请求（比如/api/proxy/user），由代理服务将请求转发到真实的REST接口。这样浏览器的Network面板里只会显示代理地址，真实的REST URL只在代理服务的配置中，不会暴露给前端。

• 接口地址混淆与动态拼接
  不要在代码里硬编码完整的REST URL，而是将地址拆分成多个片段，或者用映射表存储标识与真实地址的对应关系，在发起请求时再动态拼接。比如：

  // 避免直接写死完整地址
  final apiSegments = ["https://xxx.com", "api", "v1"];
  final baseUrl = apiSegments.join("/");
  
  // 或者用映射表间接获取接口路径
  final apiMap = {
    "userList": "/user/list",
    "userDetail": "/user/detail"
  };
  

  这样调试者查看源码时不会直接看到完整地址，需要额外分析拼接逻辑才能获取。

• 动态获取接口地址
  在应用启动时，先请求一个内部配置接口，获取加密后的API地址，再在前端解密后使用。虽然解密逻辑仍在前端，但相比硬编码，增加了获取真实地址的门槛。注意加密逻辑要简单高效，避免影响应用性能。

• 利用环境变量注入地址
  在Flutter编译时，通过环境变量注入API地址，而不是写死在代码中。比如执行flutter build web --dart-define=BASE_URL=https://xxx.com/api，然后在代码中通过String.fromEnvironment("BASE_URL")获取。这种方式可以避免源码中直接出现真实地址，但编译后的产物中仍能找到，只能起到基础的隐藏作用。

内容的提问来源于stack exchange，提问作者Wai Han Ko