AST静态分析实现JS代码脱敏混淆指南

本文深入解析了基于AST（抽象语法树）实现JavaScript代码脱敏混淆的核心原理与实战要点，强调正则替换在变量名混淆中存在致命缺陷——无法区分声明、引用、字符串、属性名及作用域边界，而AST凭借对VariableDeclarator.id、函数参数、箭头函数形参等声明节点的精准识别，结合scope.getBinding()动态判断本地绑定能力，成为唯一可靠的基础；文章系统梳理了@babel/traverse中识别可混淆标识符的关键守卫逻辑，涵盖this/arguments保留字过滤、import/export特殊处理、解构赋值与MemberExpression.property的避坑细节，并指出生成混淆名时必须按作用域隔离命名、规避保留字、防止跨函数冲突，还特别提醒catch参数和class静态初始化表达式等极易被忽视的混淆盲区，为构建健壮、安全、符合语义的JS混淆工具提供了完整技术指南。

不能直接用正则替换变量名，必须基于 AST 识别作用域内可安全重命名的绑定标识符，否则会破坏 window.location、console.log、字符串字面量甚至对象属性访问。

为什么 AST 是脱敏混淆的唯一可靠基础

正则替换无法区分 let user = {} 中的 user（可混淆）和 api.user.id 中的 user（不可混淆），更无法跳过 "user" 字符串或注释里的单词。AST 能精准定位到 VariableDeclarator.id、FunctionDeclaration.id、ArrowFunctionExpression.params 这三类真正“声明了局部名字”的节点，且天然携带作用域上下文。

• Identifier 节点本身不等于“可混淆名”——它可能是引用、属性名、全局变量，必须结合 scope.getBinding() 判断是否为本地绑定
• 混淆后若直接改 node.name，Babel 的作用域分析不会更新，导致后续 referencePaths 错乱，必须调用 path.replaceWith()
• 不处理 ImportSpecifier.local 和 ExportNamedDeclaration.specifiers，否则模块导入导出名丢失，运行时报 ReferenceError

@babel/traverse 中如何精准识别并跳过不可混淆节点

混淆逻辑必须在 Identifier 访问器中做多层守卫，常见漏判点包括：参数名在箭头函数中被误认为引用、this/arguments 被当普通标识符、解构赋值中的 ObjectPattern 名称未过滤。

• 先排除硬性保留字：if (node.name === 'this' || node.name === 'arguments' || node.name === 'super') → 直接 return
• 再查绑定类型：const binding = path.scope.getBinding(node.name)；若 !binding 或 binding.kind === 'module'（即 import 名）或 binding.kind === 'hoisted'（var 提升但非当前作用域声明）→ 跳过
• 特别注意解构：ObjectPattern 和 ArrayPattern 下的 Identifier 节点需额外判断其父节点是否为 VariableDeclarator.id 或 AssignmentPattern.left，否则 const { a } = obj 中的 a 会被错误放过
• MemberExpression.property 且 computed === false（如 obj.name）必须跳过，哪怕该 name 在当前作用域中恰好有同名变量

生成混淆名时容易忽略的作用域隔离与命名冲突

全局统一计数器（如 _a、_b）会导致不同文件、不同函数内的同名变量映射到相同混淆名，引发跨作用域覆盖；而随机字符串（如 Math.random().toString(36)）又可能重复或撞上保留字。

• 每个 Scope 实例应维护独立 Map，键为原始名，值为已生成的混淆名，确保同作用域内唯一
• 混淆名建议采用前缀 + 短哈希组合，例如 _x${(scope.path.node.loc?.start.line || 0).toString(36)}，避免父子作用域同名污染
• 生成前必须校验是否为 JS 保留字（可用 is-reserved-word 库），否则 path.replaceWith(t.identifier('enum')) 会直接导致语法错误
• 对 for (let i = 0; ...) 中的 i，需识别其位于 ForStatement.init 而非 VariableDeclaration，否则会被遗漏

最常被绕过的其实是 catch 参数——try { ... } catch (err) { ... } 中的 err 是合法绑定标识符，但很多混淆工具因未监听 CatchClause.param 节点而漏掉它；另外，class 内部的 static 字段初始化表达式中的变量引用，也容易因作用域链判断偏差而误伤。

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《AST静态分析实现JS代码脱敏混淆指南》文章吧，也可关注golang学习网公众号了解相关技术文章。