阅读 799

Electron-如何保护源码?

一开始听到这个需求挺懵的,作为一个聊天软件,代码里并没有所谓核心算法和商业机密,为什么需要保护源码。况且Electron本身在打包时提供了asar这种archive文件格式,会将所有源码和依赖封装。

需求

一阵分析后,Electron项目源码保护还是有必要的。

  • asar只是对源码的合并归档,并不提供加密之类的操作。 通过asar e的命令,可以很简单地进行解压和得到源码。
  • 业务上,即时通讯应用的聊天数据均存储在本地,虽然使用了加密版的sqlite3。但拿到源码,也就意味着知道了密钥,数据库加密也就形同虚设。

寻找解决方案

asar加密

翻github和Stack Overflow,发现对Electron源码保护方案讨论由来已久。

Source Code Protection #3041

Add Encryption Feature #46

总结下来,官方并没有打算提供解决方案。作者们认为,无论用什么形式去加密打包文件,密钥总归是需要放置在包里的。。

继续翻,国内论坛上一些大佬有尝试解决过这个问题,是从asar打包这块切入,然而,并没有看懂。。

electron 加密打包的正确方法

简单理解下大佬的思路:对asar源码进行分析,在 asar 打包时写入文件之前, 通过加密算法把写入的文件进行加密;在asar.js读取文件处添加对应文件解密算法;同时对asar文件头部 json 进行加密,使得官方的 asar 就没法解包了。

思路我是看懂了,怎么下手完全不知。有兴趣的童鞋可以主动去留言询问。。

addons封装核心代码

electron issue里有人提出可以利用nodejs的addons来封装核心代码。addons是nodejs实现跨平台调用原生代码的插件,因为保护源码的主要目的是为了提高安全性,将数据库密钥等关键字段存储在原生代码中,提高破解门槛。

实现

C++语法基本忘光了,先实现一个简单业务练练手:JS传入用户信息对象,C++读取对象,处理后,返回数据库对应的密钥。

Nodejs与C++之间的类型转换由V8 API提供,具体可参考Node.js 和 C++ 之间的类型转换

// key.cc
#include <node.h>

namespace key {

using v8::FunctionCallbackInfo;
using v8::Isolate;
using v8::Local;
using v8::NewStringType;
using v8::Object;
using v8::String;
using v8::Value;

void GetKeys(const FunctionCallbackInfo<Value>& args) {
  Isolate* isolate = args.GetIsolate();

  // 判断js传递的参数是否为对象
  if (!args[0]->IsObject()) {
    printf("not Object\n");
  }

  // 新建对象,将cfg和id绑定到对象
  Local<String> cfgKey = v8::String::NewFromUtf8(isolate, "testxxx");
  Local<Object> keyObj = v8::Object::New(isolate);
  keyObj->Set(v8::String::NewFromUtf8(isolate, "cfgKey"), cfgKey);

  // 读取js传递的对象
  Local<Object> userObj = Local<Object>::Cast(args[0]);
  Local<Value> id = userObj->Get(String::NewFromUtf8(isolate, "id"));
  keyObj->Set(v8::String::NewFromUtf8(isolate, "id"), id);

  args.GetReturnValue().Set(keyObj);
}

void GetUidByUserInfo(const FunctionCallbackInfo<Value>& args) {
  Isolate* isolate = args.GetIsolate();

  Local<Object> userObj = Local<Object>::Cast(args[0]);
  Local<Value> id = userObj->Get(String::NewFromUtf8(isolate, "id"));

  args.GetReturnValue().Set(id);
}

void Initialize(Local<Object> exports) {
  NODE_SET_METHOD(exports, "getKey", GetKeys);
  NODE_SET_METHOD(exports, "getUserKey", GetUidByUserInfo);
}

NODE_MODULE(NODE_GYP_MODULE_NAME, Initialize)

} 
复制代码

key.cc中暴露了两个简单的方法,分别是获取所有key的对象和获取单独用户的key,当然,这里只是简单的业务逻辑展示。在Nodejs Addons中,接口是通过这种模式的初始化函数:

void Initialize(Local<Object> exports);
NODE_MODULE(NODE_GYP_MODULE_NAME, Initialize)
复制代码

NODE_GYP_MODULE_NAME,是在binding.gyp中设定的模块名称。Nodejs不能直接调用C++文件,需要先通过node-gyp将其编译为二进制文件,binding.gyp则是类似JSON格式的构建配置文件。在根目录下新建该文件:

{
  "targets": [
    {
      "target_name": "dbkey",
      "sources": [ "key.cc" ]
    }
  ]
}
复制代码

安装好node-gyp和相关依赖。先后输入命令 node-gyp configurenode-gyp build

成功后,生成build目录,得到二进制文件dbkey.node。

然后,我们写个js测试下。

const dbKey = require('./build/Release/dbkey');

const userInfo = {
  id: '123456',
};

console.log(dbKey.getKey()); // { cfgKey: 'testxxx', id: '123456' }
console.log(dbKey.getUserKey(userInfo)); // 123456
复制代码

通过require(),我们就可以调用C++模块。

但此时的dbkey.node并不能直接扔进electron中使用,我们需要用electron相关头文件对该插件进行重编译。

node-gyp rebuild --target=1.7.11 --arch=x64 --target_platform=darwin --dist-url=https://atom.io/download/atom-shell

根据你的electron版本号(target)和平台(target_platform)分别重编译。

ps. 因为Nodejs版本很多,其V8 API也不完全一致,C++逻辑建议使用NAN,NAN对V8 API做了封装,使我们不用关心版本问题。我们项目中使用的Native模块,如canvas,sqlite等,其源码也都是使用NAN。

总结

利用C++ Addons封装核心业务代码,能一定程度提升源码的安全性。但需要修改之前的打包流程,开发调试上也会带来一些不便。还是看业务上如何取舍吧。

关注下面的标签,发现更多相似文章
评论