如何通过JavaScript实现用户访问网站时自动运行Bookmarklet代码且不泄露代码？

首先明确：无法完全阻止用户获取代码，但可以通过封装+混淆的方式大幅提高门槛，让用户无法轻易提取出可复用的Bookmarklet。核心思路是把Bookmarklet的逻辑直接集成到网站的JavaScript中，在用户访问时自动执行，而非依赖用户手动点击书签。

步骤1：提取Bookmarklet的核心逻辑 #

Bookmarklet本质是javascript:开头的自执行代码，先去掉前缀，提取核心功能。比如原Bookmarklet是：

javascript:(function(){alert('这是Bookmarklet功能');})();

提取后得到核心代码：

(function(){alert('这是Bookmarklet功能');})();

步骤2：集成到网站并自动执行 #

直接将这段核心代码放到页面的脚本中，在页面加载时自动运行：

<script>
// 封装你的Bookmarklet核心逻辑
(function() {
  // 替换成你的Bookmarklet功能代码
  alert('网站自动运行的Bookmarklet逻辑');
  // 示例：修改页面样式、获取页面数据等操作
  document.body.style.backgroundColor = '#f0f0f0';
})();
</script>

如果需要在特定时机执行（比如页面完全加载后），可以用DOMContentLoaded事件：

document.addEventListener('DOMContentLoaded', function() {
  // 这里执行Bookmarklet逻辑
  (function(){
    // 功能代码
  })();
});

步骤3：混淆压缩代码，提高逆向门槛 #

为了让用户难以直接提取出可用的Bookmarklet，将代码用压缩混淆工具处理，压缩后的代码会变成类似这样：

!function(){alert("网站自动运行的Bookmarklet逻辑"),document.body.style.backgroundColor="#f0f0f0"}();

混淆后的代码可读性极低，普通用户很难还原成可复用的Bookmarklet。

关键注意事项 #

• 完全隐藏代码不可能：浏览器必须下载并执行JS，用户通过开发者工具的Sources面板总能看到执行的代码，混淆只是增加逆向成本。
• 遵守安全策略：如果页面配置了Content Security Policy（CSP），需要确保内联脚本被允许（添加unsafe-inline指令），或者将混淆后的代码放到外部JS文件中引用。
• 合规性：不要执行未经用户许可的恶意操作（如修改浏览器设置、窃取数据），这会违反浏览器安全规则和隐私法规。

内容的提问来源于stack exchange，提问作者Peak