如何在Ionic 5+Cordova项目中实现Android与iOS双端代码混淆

一、JS/TS 业务层混淆（双端通用） #

这部分为双端通用的基础混淆方案，无需额外Cordova插件：

• 基础混淆：直接开启Ionic生产模式构建即可触发默认丑化、摇树优化，执行命令：ionic build --prod
• 高阶混淆：若需要更高混淆强度，可安装terser-webpack-plugin自定义规则，在项目根目录的webpack.config.js中添加如下配置：

const TerserPlugin = require('terser-webpack-plugin');
module.exports = {
  optimization: {
    minimizer: [
      new TerserPlugin({
        terserOptions: {
          compress: {
            drop_console: true, // 正式包移除所有console输出
            drop_debugger: true
          },
          mangle: {
            toplevel: true, // 混淆顶层作用域变量/方法名
            reserved: ['cordova', 'ionic'] // 保留框架核心全局变量，避免调用异常
          }
        }
      })
    ]
  }
}

注意：所有Cordova插件的调用方法名不要添加到混淆规则中，否则会导致JS层与原生层通信失败。

二、Android端原生混淆 #

Android端直接使用系统自带的R8/ProGuard即可完成混淆，无需额外插件：

• 开启混淆开关：找到platforms/android/app/build.gradle文件，定位到buildTypes.release节点，修改配置为：

release {
    minifyEnabled true // 开启代码混淆
    shrinkResources true // 移除无用资源
    proguardFiles getDefaultProguardFile('proguard-android-optimize.txt'), 'proguard-rules.pro'
}

• 配置防混淆规则：打开platforms/android/app/proguard-rules.pro，添加Cordova核心类保留规则：

-keep class org.apache.cordova.** { *; }
-keep public class * extends org.apache.cordova.CordovaPlugin
-keep class com.ionicframework.** { *; }

你使用的所有第三方Cordova插件对应的类都需要单独添加keep规则，避免插件功能失效。

三、iOS端混淆替代方案 #

cordova-plugin-crypto-file对新版iOS系统兼容性较差，推荐使用维护更活跃的cordova-plugin-obfuscator实现资源加密+代码混淆：

• 插件安装命令：cordova plugin add cordova-plugin-obfuscator
• 插件会自动在构建阶段加密www目录下的HTML、JS、CSS资源，运行时自动解密，兼容iOS 12及以上系统，无需额外手动配置
• 原生代码基础混淆：打开Xcode项目，在编译设置中开启Deployment Postprocessing、Strip Debug Symbols During Copy、Strip Linked Product三个选项，即可移除原生代码的调试符号，实现基础混淆。

四、通用避坑提示 #

• 混淆后必须做全量功能回归测试，大量依赖反射调用的Cordova插件会因为混淆出现功能异常
• iOS端不要对WKWebView相关类做混淆，否则会出现页面加载失败问题
• 敏感加密密钥不要硬编码在JS代码中，建议存储在双端原生的密钥链/密钥库中，可配合cordova-plugin-secure-storage使用

内容的提问来源于stack exchange，提问作者Marcos Castro