Electron-如何保护源码？

一开始听到这个需求挺懵的，作为一个聊天软件，代码里并没有所谓核心算法和商业机密，为什么需要保护源码。况且Electron本身在打包时提供了asar这种archive文件格式，会将所有源码和依赖封装。

需求

一阵分析后，Electron项目源码保护还是有必要的。

• asar只是对源码的合并归档，并不提供加密之类的操作。 通过asar e的命令，可以很简单地进行解压和得到源码。
• 业务上，即时通讯应用的聊天数据均存储在本地，虽然使用了加密版的sqlite3。但拿到源码，也就意味着知道了密钥，数据库加密也就形同虚设。

寻找解决方案

asar加密

翻github和Stack Overflow，发现对Electron源码保护方案讨论由来已久。

Source Code Protection #3041

Add Encryption Feature #46

总结下来，官方并没有打算提供解决方案。作者们认为，无论用什么形式去加密打包文件，密钥总归是需要放置在包里的。。

继续翻，国内论坛上一些大佬有尝试解决过这个问题，是从asar打包这块切入，然而，并没有看懂。。

electron 加密打包的正确方法

简单理解下大佬的思路：对asar源码进行分析，在 asar 打包时写入文件之前, 通过加密算法把写入的文件进行加密；在asar.js读取文件处添加对应文件解密算法；同时对asar文件头部 json 进行加密,使得官方的 asar 就没法解包了。

思路我是看懂了，怎么下手完全不知。有兴趣的童鞋可以主动去留言询问。。

addons封装核心代码

electron issue里有人提出可以利用nodejs的addons来封装核心代码。addons是nodejs实现跨平台调用原生代码的插件，因为保护源码的主要目的是为了提高安全性，将数据库密钥等关键字段存储在原生代码中，提高破解门槛。

实现

C++语法基本忘光了，先实现一个简单业务练练手：JS传入用户信息对象，C++读取对象，处理后，返回数据库对应的密钥。

Nodejs与C++之间的类型转换由V8 API提供，具体可参考Node.js 和 C++ 之间的类型转换。

// key.cc
#include 

namespace key {

using v8::FunctionCallbackInfo;
using v8::Isolate;
using v8::Local;
using v8::NewStringType;
using v8::Object;
using v8::String;
using v8::Value;

void GetKeys(const FunctionCallbackInfo& args) {
  Isolate* isolate = args.GetIsolate();

  // 判断js传递的参数是否为对象
  if (!args[0]->IsObject()) {
    printf("not Object\n");
  }

  // 新建对象，将cfg和id绑定到对象
  Local cfgKey = v8::String::NewFromUtf8(isolate, "testxxx");
  Local