Blazor WASM @code块代码编译后是否可被浏览器调试及相关可见性疑问

针对你的三个核心疑问解答如下： #

• 问题1：写在@code块内的代码，用户是否可以通过反编译等方式查看？
  完全可以。Blazor WASM会把整个Client项目的代码编译为DLL文件，随应用一起下载到用户浏览器侧运行。用户可以直接从浏览器网络面板导出这些DLL，使用dnSpy、ILSpy等常规.NET反编译工具直接查看所有代码内容，包括@code块里的业务逻辑、硬编码的密钥、接口地址等敏感信息，默认没有任何加密防护。即便做了代码混淆，也只是提升反编译的门槛，无法完全阻止代码被逆向分析。
• 问题2：如果在@code块内发起HTTP请求，用户是否可以通过Fiddler、浏览器Network标签页等工具查看到该请求？
  完全可以。所有在客户端侧发起的HTTP请求都会经过浏览器的网络栈，请求的完整地址、请求头、请求参数、响应内容都可以在浏览器Network面板直接查看。使用Fiddler、Charles等抓包工具的话，哪怕是HTTPS请求，只要用户安装了对应根证书完成信任，也可以解密看到全部请求内容，没有任何隐藏的可能。
• 问题3：若我将相关逻辑放到Server项目中，Client项目仅向Server项目传输表单数据，由Server项目发起后续HTTP请求，该请求是否对客户端完全不可见？
  是的，完全不可见。服务端发起的HTTP请求走的是服务端自身的网络链路，整个请求过程完全不经过用户的浏览器，用户最多只能看到Client端提交表单到你自己Server接口的请求，完全无法感知到Server后续发起了什么请求、传递了什么参数、收到了什么响应，敏感逻辑不会有任何泄露风险。

适配你需求的实现建议 #

你要隐藏表单提交后的HTTP调用逻辑，直接采用第三种方案即可：Client端只负责收集表单数据，提交到你自己Server项目的对应接口，所有后续的第三方接口调用、业务处理逻辑全部放在Server侧执行，最终只把处理结果返回给Client展示即可，是目前最安全也最容易实现的方案。

内容的提问来源于stack exchange，提问作者Kiran Ramaswamy