JavaScript如何加密？常见前端加密方法有哪些

前端JavaScript加密本质上无法提供真正的安全性，因为所有代码、密钥和逻辑均暴露在客户端，仅能抵御低门槛窃取或满足协议格式要求；真正可信的加密能力依赖现代浏览器原生支持的Web Crypto API（如AES-GCM），但密钥必须由后端安全分发或通过PBKDF2等强派生方式生成，绝不可硬编码；Base64、Hex等仅为编码而非加密，SHA-256单次哈希也无法替代带盐与多轮迭代的密码学哈希；任何涉及敏感数据的操作——尤其是支付、私钥管理、端到端加密——都应优先交由后端完成，若必须前端参与，则需严格遵循密钥不落地、IV安全生成、避免日志/存储泄露等关键原则。

前端 JavaScript 加密 ≠ 安全加密

JavaScript 在浏览器中运行，所有代码、密钥、逻辑都对用户完全可见。这意味着 localStorage 里存的密钥、crypto.subtle 里用的 importKey、甚至混淆过的 AES 函数，只要在客户端执行，就无法防止被逆向或绕过。所谓“前端加密”，实际只能做到「防低门槛窃取」或「满足协议格式要求」（比如把密码转成 base64 传给后端），而不是真正保护敏感数据。

Web Crypto API 是唯一可信赖的原生加密能力

现代浏览器（Chrome 68+、Firefox 60+、Safari 16.4+）支持 window.crypto.subtle，它提供符合标准的 AES-GCM、RSA-OAEP、HMAC、SHA-256 等算法，且密钥可标记为 extractable: false，防止被导出。但注意：密钥仍需由后端安全分发或通过密码派生（如 PBKDF2），不能硬编码在 JS 里。

• 对称加密推荐用 AES-GCM：支持加密 + 认证，避免手动拼接 IV 和 MAC
• 非对称加密只用于密钥交换或签名，不要用它直接加密大量数据（性能差、有长度限制）
• SubtleCrypto.generateKey() 创建的密钥必须用 exportKey() 显式导出才能序列化，否则无法跨页面/会话使用

const encoder = new TextEncoder();
const data = encoder.encode("hello");
const key = await crypto.subtle.generateKey({ name: "AES-GCM" }, true, ["encrypt", "decrypt"]);
const iv = crypto.getRandomValues(new Uint8Array(12));
const encrypted = await crypto.subtle.encrypt(
  { name: "AES-GCM", iv },
  key.key,
  data
);

Base64、Hex、URL 编码不是加密，只是编码

很多项目误把 btoa()、Buffer.toString('hex')（Node.js）、encodeURIComponent() 当作“加密”。它们无密钥、无混淆、可逆性极强，仅用于数据格式适配（比如让二进制塞进 JSON 字段或 URL 参数），不提供任何安全性。

• btoa("admin:123") → "YWRtaW46MTIz"，用任意在线工具秒解
• 前端用 sha256 对密码哈希再提交？除非配合服务端 salt + 多轮迭代（如 PBKDF2），否则彩虹表可直接破解常见密码
• 第三方库如 crypto-js 默认使用弱 IV（全零）和 ECB 模式（已弃用），不配置 mode 和 padding 就用，等于没加锁

真正该做的：把加密逻辑移出前端

敏感操作——比如支付签名、文档加解密、用户私钥管理——应由后端完成。前端只负责收集输入、调用 HTTPS 接口、展示结果。若必须前端参与（如端到端加密聊天），则：

• 密钥永不落地：用 crypto.subtle.generateKey() 创建，extractable: false，内存中使用完即丢
• 密码派生必须用 PBKDF2 或 scrypt（Web Crypto 支持前者），迭代次数 ≥ 100,000
• 避免在 console.log()、localStorage、URL query 中暴露密文、IV、salt

最常被忽略的一点：即使用了 AES-GCM，如果 IV 重复使用，攻击者就能恢复明文——而前端用 Math.random() 生成 IV 是灾难性的。务必用 crypto.getRandomValues()。

本篇关于《JavaScript如何加密？常见前端加密方法有哪些》的介绍就到此结束啦，但是学无止境，想要了解学习更多关于文章的相关知识，请关注golang学习网公众号！