Blazor WebAssembly前端JS代码加密与密钥存储规范咨询

1. 代码隐藏/加密的可行性 #

前端代码（包括Blazor WASM编译产物和关联JS）最终要下发到客户端执行，无法彻底隐藏，但可以通过以下方式提升逆向难度：

• 发布时启用Release模式，开启Blazor的Linker优化，自动裁剪未使用的IL代码，同时启用Gzip/Brotli压缩，大幅降低代码可读性。
• 对项目中的独立JS文件，使用Terser、UglifyJS等工具做混淆压缩，将变量名替换为无意义字符，移除注释和冗余空格。
• 注意：任何前端加密手段最终都需要在客户端解密执行，只能增加攻击者的逆向成本，无法完全阻止。

2. 前端密钥存储的正确方式 #

• 对称密钥：绝对禁止存放在前端，对称密钥需要严格保密，前端环境完全不可信，任何硬编码或存储在前端的对称密钥都会被轻易提取，属于严重安全漏洞。
• 公钥：可直接存放在前端，但需注意场景：公钥本身是公开的，用于加密（仅私钥可解密）或验签，硬编码在代码中是合规的，但更建议通过后端接口动态返回或从环境变量加载，方便后续更新。
• 图中硬编码密钥的写法，若为对称密钥则完全不合规；若为公钥则可以接受，但不是最优实践。

Blazor WASM额外建议 #

敏感逻辑尽量迁移到后端API处理，前端仅负责UI交互和非敏感操作。比如加密请求直接调用后端接口，由后端使用密钥完成加密，避免密钥出现在前端环境中。

内容的提问来源于stack exchange，提问作者BlueCake