这是一个创建于 779 天前的主题，其中的信息可能已经有所发展或是发生改变。
发现一个神奇的库，可以禁用网站 devtools 达到保护源码的目的
https://github.com/theajack/disable-devtool
有厉害的老哥有破解思路吗，我记得之前有人发过类似帖子，他那个提前打开 devtools 再输网址可破，但这个法子在这个库也没用了
装了个禁用 js 的插件，但是 react 貌似就必须跑在 js 环境下，禁用的话整个页面都出不来了
有点没思路了哈哈
https://github.com/theajack/disable-devtool
有厉害的老哥有破解思路吗，我记得之前有人发过类似帖子，他那个提前打开 devtools 再输网址可破，但这个法子在这个库也没用了
装了个禁用 js 的插件，但是 react 貌似就必须跑在 js 环境下，禁用的话整个页面都出不来了
有点没思路了哈哈
 | 1 zeusho871 2023-10-10 01:22:29 +08:00 via Android 只要用的谷歌别人就有办法打开，而且我用 playwright 之类的工具，一样可以获取你 |
 | 2 lisongeee 2023-10-10 01:22:46 +08:00  4 |
 | 3 comingnine 2023-10-10 01:54:10 +08:00 不清楚强度怎么样啊？道高一尺，魔高一丈 |
 | 4 Perry 2023-10-10 06:31:46 +08:00 via iPhone 1 这跟发明永动机有啥区别？不管什么牛魔鬼怪，能 render 到浏览器上的东西都能看到源码，即使是 uglified 过的。 |
 | 5 yanyao233 2023-10-10 06:51:21 +08:00 via Android 前端基本没啥秘密，只不过就是恶心程度不同 |
 | 6 k9982874 2023-10-10 08:13:40 +08:00/span> 不如多几层混淆 |
 | 7 sunorg 2023-10-10 08:27:39 +08:00 via Android 这应用场景主要是反扒上面，增加难度而已。 抛开场景谈技术，没意义 |
 | 8 liuidetmks 2023-10-10 08:46:41 +08:00 没什么意义，不如混淆或者 wasm |
 | 9 Blanke 2023-10-10 08:57:37 +08:00 没什么卵用 |
 | 10 Masoud2023 2023-10-10 09:38:23 +08:00 8 与其在前端想方设法保护那点弱智代码，还不如在后端方向想想怎么做一些校验或者风控 |
 | 11 zxcholmes 2023-10-10 12:23:14 +08:00 用 fiddler 之类代理，劫持请求，修改 response ，把这个 js 逻辑去掉，随便 devtools ，有人会说 https ？装根证书不就行了，https 改包对 fiddler 也不是难事 |
 | 12 solobat 2023-10-10 13:42:04 +08:00 找一个或开发个浏览器扩展，劫持请求，修改 js url 或内容就行了 |
 | 13 Rache1 2023-10-10 13:50:02 +08:00 IT 民科 |
 | 14 AtlantaANiu 2023-10-10 14:21:42 +08:00 主要还是利用了 log 的惰性执行这个特性，找个脚本注入插件，重写一下 conosle.log 函数就能绕过 |
 | 15 zsh2517 2023-10-10 15:13:13 +08:00 2 用官方 demo （ https://theajack.github.io/disable-devtool/）测试。我遇到的主要检测方式就是 Date/FuncToString 词数检测和 performance 性能检测。这俩都是依赖 console.log 的机制 不依赖任何外部工具（即靠页面本身、地址栏注入 JS 、打开 devtools 之后的手速）的情况下，目前我发现的唯一解法是提前打开 devtools ，网速调到慢速 3G/自定义一个高延迟的网络，在浏览器载入 js 之前（最一开始一定是加载 HTML 的，这个时候禁用还没载入），覆盖掉 window.console 。比如 window.console.log = () => { }; window.console.table = () => { }; window.console.clear = () => { }; 如果想自动生效，油猴脚本加一个 `// @run-at document-start` ，声明注入时机把 window.console 干掉就行。上面这种方法比较简单但是没有任何 console.log 内容了。如果还想要打印的东西，可以自己重写 console.log ，检测 e.toString === e.__proto__.toString 或者 e 的内容，过滤掉检测的那个变量或者给他改回去。 至于性能检测（ table 时间 > 10*log 时间），重写 console 函数的时候，给 log 加一个 for 10....0 延迟，或者把 table 改成 settimeout 异步打印就行。如果对于日志顺序有严格要求，可以自己实现一个队列按顺序打印，控制好执行时间就可以 如果 disable-devtool 还想对 console.log 是否被魔改过进行检测，又是一个新的话题了。可以参考比如 https://zhuanlan.zhihu.com/p/564194625 --- 以上方法是从他检测机制直接入手的。简单点的方式，比如直接拦截请求，把脚本生效的地方干掉、字符串替换把 md5 换成自己知道的密码等等。这个脚本、油猴以及抓包都能干，就不试了 |
| 16 zsh2517 2023-10-10 15:16:35 +08:00 @zsh2517 补充，这是建立在白盒测试的情况下，我能直接针对检测的方式入手。如果直接给我个用了它的网站（甚至还是混淆代码之后的），我感觉我可能还真弄不出来 |
| 17 zsh2517 2023-10-10 15:30:36 +08:00 再补充：我也不知道为啥作者没有添加一种从 console.log 函数本身入手的检测方式。一个是自定义 console.log 加检测，一个是直接检测 console.log 函数本身是否是自己新定义的东西。结合一些反 monkey-patching 的方法，黑盒搞起来会更难入手（不过对于抓包干掉的话一样无效） 上面我提到的方法本质上就是注入进 console.log 然后破坏 console.log 的默认机制。vconsole 原理差不多，自定义一个新的 console 绕开 devtool 按照目前作者检测 vconsole 的方法来说，可能换一个作者没处理的 vconsole 也能绕开（性能检测可能会是个问题，但至少不会无解） |
 | 18 zsdroid 2023-10-10 16:07:38 +08:00 view-source:https://theajack.github.io/disable-devtool/ |
 | 19 lete 2023-10-10 16:45:30 +08:00 |
| 20 Masoud2023 2023-10-10 17:07:39 +08:00 js 层面感觉做这种自欺欺人的东西根本没有什么意义。 真喜欢搞这种那就上 wasm 啊，想办法拿 wasm 加密 js 层再吐给 v8 ，或者干脆你真牛逼就去 wasm 造核心逻辑。 可惜喜欢提出这种问题的一般都不会这种“高端技术”。 |
 | 21 mmdsun 2023-10-10 17:28:57 +08:00 油猴注入个脚本就行。 |
 | 22 luckyrayyy 2023-10-10 17:41:54 +08:00 这种真的有啥意义嘛，我个后端都能靠朴素的办法直接 chrome 停用 JS 进去 |
 | 23 Greatshu 2023-10-11 01:51:32 +08:00 via Android 没法禁用，不过可以检测到 devtools 打开就开始挖矿，如果有用户系统的可以配置检测到 devtools 打卡就封号 |
 | 24 montaro2017 2023-10-11 16:54:06 +08:00 生产环境上用过这个库，最后因为有反馈误触发，最后取消了 |
Select Language