从计算机的工作本质来看，任何保护都无法完全防止被破解——因为计算机必须能够看到指令才能执行它们。我们真正能做的，只是抽象化程序的运行方式。

通过虚拟化实现抽象化

抽象化任何程序的一种方法是虚拟化代码，本质上是将输入代码"编译"并创建一个自定义的虚拟CPU架构来运行编译输出。

如果你了解Java的JVM（Java虚拟机），那么你就能理解我们在做什么——任何Java代码都可以在JVM支持的任何CPU架构上运行。我们同样将文本转换成二进制代码，让它在我们自定义的虚拟CPU上运行。

为什么虚拟化保护更强？

与JavaScript的解释型文本语法相比，读取二进制文件要困难得多。因此，我们将文本转换成二进制格式，在我们的虚拟CPU上运行。

Web保护通常比二进制保护更容易破解，因为二进制安全领域更为成熟，而基于浏览器的代码保护相对较新。硬件保护（如TPU）比沙盒中的JavaScript更具挑战性，因为后者可以被轻松分析和调试。

基本实现原理

以下是一个关于JavaScript虚拟化实现的基本概述，展示了一个程序如何在虚拟指令集上运行：

let program = [1, 1, 1, 2, 2]
let datapointer = 0
let memory = []

while(datapointer != program.length){
  switch(program[datapointer++]){
    case 1: // 指令1: 将程序中的下一个数字压入内存
      memory.push(program[datapointer++])
      break;
    case 2: // 指令2: 将内存中最上面的两个数字相加
      memory.push(memory.pop() + memory.pop())
      break;
  }
}

这个程序在语义上等同于：

1 + 2;

两者都是将1和2相加。但虚拟化后的代码更难被逆向分析和理解。

安全性的局限

就像可执行程序一样，虚拟化保护可以通过监控程序内存来破解前两层保护。但相比传统的JavaScript混淆，虚拟化大大增加了逆向分析的难度和成本。

这种保护方法的核心优势在于：即使攻击者能够看到代码，他们也需要理解整个虚拟机的架构和指令集，这比直接阅读JavaScript源码要困难得多。

来源：PixelMelt Blog | 编译整理：JSVMP