如何在不开源的情况下分发Node.js应用并限制服务端代码可见性

本地部署时服务端代码是否一定可见？ #

默认场景下是可见的。Node.js 属于解释型语言，常规分发的部署包就是原始 .js 源码文件，和 C# 编译为 IL 中间码、Java 编译为 Class 字节码的默认分发逻辑不同，没有强制的预编译环节，部署方拿到部署包后可以直接读取所有服务端业务逻辑。

限制代码可见性的可行方案 #

你可以通过以下几种成熟的打包处理方案提升代码保护等级，达到接近编译型语言的分发效果：

• 编译为 V8 字节码：使用 node-bytecode 这类工具可以把 JS 源码直接编译为 V8 引擎可直接执行的字节码产物，字节码无法直接反编译为可读性高的原始源码，最多只能得到混淆程度极高的逻辑片段，能有效阻挡绝大多数代码窃取行为。需要注意该方案要求部署环境的 Node.js 大版本和编译时使用的版本完全一致，否则会出现无法运行的问题。
• 打包为单二进制可执行文件：使用 pkg、nexe 这类工具可以把 Node.js runtime、项目依赖、业务源码全部打包为单个独立的可执行文件，部署方拿到的只有一个二进制文件，完全看不到原始的 .js 文件。该方案的防护等级可以满足绝大多数企业级分发场景，只是理论上存在被技术能力极强的人员通过内存 dump、二进制逆向提取逻辑的可能性。
• 高强度代码混淆：使用 javascript-obfuscator 做全量代码混淆，把变量名、逻辑流、字符串全部打乱加密，还可以配合启动时动态解密执行的逻辑，即使部署方拿到源码文件也无法正常读懂业务逻辑。该方案兼容性最好，不需要匹配 Node.js 版本，但防护强度略低于前两种方案。

注意事项 #

所有代码保护方案都只是提升破解门槛，不存在绝对不可破解的保护形式，你可以根据分发场景的安全要求选择组合方案，比如同时使用「混淆+字节码编译+单可执行文件打包」，就能达到非常高的防护等级。

内容的提问来源于stack exchange，提问作者Kshitij