如何上传HTML/JS计算代码到WordPress站点并隐藏核心逻辑防止被盗

一、登录权限配置（基于WordPress原生能力实现） #

• 进入WordPress后台「设置-常规」页面，勾选「任何人都可以注册」选项，将新用户默认角色设置为订阅者（仅最低访问权限，无后台操作权限）
• 新建专门的工具落地页，在页面模板中加入登录状态判断：调用WordPress原生函数is_user_logged_in()，未登录用户直接跳转至WordPress默认登录页，登录验证通过后自动跳转回工具落地页
• 如需自定义登录页样式，可直接使用WordPress插件库中的登录页定制插件调整，无需修改系统核心代码

二、HTML/JS代码部署（两种可选方案） #

• 方案1：内嵌WordPress页面
  进入WordPress页面编辑器，切换为代码编辑模式，直接粘贴你的HTML结构代码；JS代码可直接写在<script>标签内，也可通过cPanel文件管理器上传至站点根目录下的独立文件夹（如/custom-calc/），在页面中用<script src="/custom-calc/main.js"></script>引入即可
• 方案2：独立目录部署
  通过cPanel文件管理器在站点根目录新建专属文件夹（如calc-tool），将本地的index.html完整上传到该目录；在WordPress中新建落地页，用iframe标签嵌入该目录的访问地址，同时在该目录下新增.htaccess文件配置访问规则，仅允许已登录的WordPress用户访问，避免直接输入目录地址绕过登录

三、核心计算逻辑防护方案 #

前端JS无法实现100%不可破解，以下方案可大幅提高窃取难度，其中后端逻辑剥离是唯一可以彻底避免核心代码泄露的方案，优先推荐使用：

• 优先方案：核心逻辑后端化 #

  把原本写在JS里的计算逻辑全部迁移到WordPress后端用PHP实现，通过自定义REST接口对外提供服务：
  • 调用register_rest_route()函数注册专属计算接口，接口逻辑中加入is_user_logged_in()权限判断，避免未登录用户调用
  • 前端仅保留参数收集、结果展示逻辑，用户输入参数后通过fetch请求调用后端接口，拿到返回结果后渲染到页面即可，用户查看前端源码完全看不到核心计算逻辑

• 备选方案：前端多层混淆加固 #

  如果暂时不想改造后端逻辑，可通过混淆手段大幅提高代码破解成本：
  • 把核心计算逻辑单独抽离为独立JS文件，不要和页面其他交互代码混写
  • 对核心JS文件做高强度混淆处理：包含变量名乱码替换、字符串加密、控制流平坦化、死代码注入等操作，混淆后的代码即使被下载也几乎无法还原可读的原始逻辑
  • 在JS开头加入域名校验逻辑，判断当前运行域名是否为你的个人站点域名，不匹配则直接终止运行，避免代码被扒走后直接在其他站点运行

内容的提问来源于stack exchange，提问作者sgill