H5还有人在用吗
近几天，老板让我考察一下当初市面上H5的应用现状。粗略地考察了一下，发现当初应用H5的真不多了，然而还是有人在用H5的，起因无非一是成本低，相比户外广告，H5制作费用基本不值一提；二是成果好，转化率高，好一点的H5大略有10W浏览量，这也反映H5数据统计精准，企业晓得钱花在哪个中央，心里就虚浮。
然而，H5的安全性会让企业十分头疼，不晓得大家还记不记得几年前某App H5 页面被植入色情内容广告在平安圈引起了轰动。起初排查才根本确定为用户当地运营商http劫持导致H5页面被插入广告，给该App 造成极大影响。
为什么H5是黑灰产高发区？
从顶象多年的防控教训来看，H5面临的危险绝对较多是有其起因的。
1、JavaScript代码个性。
H5平台开发语言是JavaScript，所有的业务逻辑代码都是间接在客户端以某种“明文”形式执行。代码的平安防护次要依附混同，混同成果间接决定了客户端的平安水平。不过对于技术能力较强的黑产，依然能够通过调试还原出外围业务解决流程。
2、企业营销推广需要谋求简略快捷。
首先，相比其余平台，很多公司在H5平台的凋谢业务往往会谋求简略，快捷。比方在营销推广场景，很多企业的H5页面只需从微信点击链接间接跳转到一个H5页面，点击页面按钮即可实现流动，获取积分或者小红包。
一方面的确晋升了用户体验，有助于拉新推广；但另一方面简便的前端业务逻辑，往往也会对应简略的代码，这也给黑灰产提供了便当，相比去破解App，H5或者小程序的破解难度要低一些。
数据显示，如果企业在营销时不做危险管制，黑产比例个别在20%以上，甚至有一些高达50%。这就意味着品牌主在营销中相当一部分费用被节约了。
3、H5平台自动化工具泛滥。
外围流程被逆向后，攻击者则能够实现“脱机”，即不再依赖浏览器来执行前端代码。攻击者能够自行结构参数，应用脚本提交申请，即实现齐全自动化，如selenium，autojs，Puppeteer等。这些工具能够在不逆向JS代码的状况下无效实现页面自动化，实现爬虫或者薅羊毛的目标。
4、防护能力绝对单薄。
从主观层面来看，H5平台无论是代码爱护强度还是危险辨认能力，都要弱于App。这是现阶段的框架导致，并不是技术能力问题。JavaScript数据获取能力受限于浏览器，出于隐衷爱护，浏览器限度了很多数据获取，这种限度从某种程度上也减弱了JavaScript在业务平安层面的能力。
以电商App为例，出于平安思考，很多外围业务只在App上反对。如果H5和App齐全是一样的参数逻辑和加密防护，对于攻击者，破解了H5也就等于破解了App。
5、用户对H5不足零碎意识。
最初，大部分用户对H5的平安不足系统性的意识，线上业务谋求短平快，没有在H5渠道构建欠缺的防护体系状况下就上线波及资金的营销业务。
H5代码混同
基于下面这些问题，咱们能够采取H5代码混同的形式来略微解一下窘境。
一、产品简介
- H5代码混同产品，通过多层加密体系，对H5文件进行加密、混同、压缩，能够无效避免H5源代码被黑灰产复制、破解。
二、混同原理
- 对代码中的数字，正则表达式、对象属性拜访等对立转为字符串的示意模式
- 对字符串进行随机加密（多种加密形式，倒序/随机密钥进行轮函数加密等）
- 对字符串进行拆分，并扩散到不同作用域
- 打乱函数程序
- 提取常量为数组援用的形式
举个简略的例子来阐明一下流程
（1）变量和函数重命名：
// 混同前function calculateSum(a, b) { var result = a + b; return result;}// 混同后function a1xG2b(c, d) { var e = c + d; return e;}（2）代码拆分和重新组合：
// 混同前function foo() { console.log('Hello'); console.log('World');}// 混同后function foo() { console.log('Hello');}function bar() { console.log('World');}（3）控制流转换：
// 混同前if (condition) { console.log('Condition is true');} else { console.log('Condition is false');}// 混同后var x = condition ? 'Condition is true' : 'Condition is false';console.log(x);（4）增加无用代码：
// 混同前function foo() { console.log('Hello');}// 混同后function foo() { console.log('Hello'); var unusedVariable = 10; for (var i = 0; i < 5; i++) { unusedVariable += i; }}结语
当然，理论的代码混同技术可能更加简单。而且，代码混同并不能齐全阻止源代码的泄露或逆向工程，但能够减少攻击者剖析和了解代码的难度。
H5当初的应用场景其实更多可能偏差日常的投票场景、流动场景以及游戏营销等等，其实应用场景很少了，然而一旦被攻打，尤其是对于运营商这种大厂来说，危害性还是很大的，企业或者说公司还是须要留神这方面的平安。
如果须要H5代码混同产品，戳>>>收费试用