文字列をJavaScript上でJavaScriptのコードとして実行したい

Question

私は、JavaScriptの難読化について調べています。
難読化では人間の目ではみにくいというだけで、実行自体はできてしまいます。
なので、JavaScriptのコードを暗号化、実行するときに復号することでセキュリティの向上を図りたいのです。

そこで、タイトルの通り、文字列、テキストファイルをJavaScript上でJavaScriptのコードとして実行したいのですが、
その方法に見当がつかず、悩んでいます。そもそもそのようなことが可能なのでしょうか。

例えば、　test.js　内に

a = 'console.log('Hello')';

という文字列があったとして、これを test.js上でJavaScriptのコードとして実行可能なのかが知りたいです。
または、この文字列 a を test2.jsとして保存し、test2.jsに制御を移すことができるのでしょうか。

よろしくお願いいたします。

Comments

[kei344]

通常そのような手段をとることがないため、「何のために（何がしたくて）」を質問文に追記することをお勧めします。

[m.ts10806]

以前に同じような質問が出てしこたま荒れたような記憶。
セキュリティ対策はサーバー側でやるものです。
結局実行するなら同じ。

[takasima20]

その暗号化や復号化は「どこ」でやる前提なのかな?

Answer 1

なので、JavaScriptのコードを暗号化、実行するときに復号することでセキュリティの向上を図りたいのです。

JavaScriptの範囲内でできることは、せいぜい「パット見をごまかす」程度のことです。

ブラウザサイドで復号を行うということは、「ブラウザ内で復号された結果を得られる」ということなので、その気になれば復号後のソースを抽出することも可能です。手間をかけるに値するメリットはないと考えます。

Answer 2

例えば、　test.js　内に

a = 'console.log('Hello')';
という文字列があったとして、これを test.js上でJavaScriptのコードとして実行可能なのかが知りたいです。

それ、【難読化】の最初の一歩ですよ。
すでに回答ついてますが、eval で実行可能です。

【難読化】では部分的に非可逆な変換もいれますが、maisumakun の回答の通り、フロントのみでは「パット見をごまかす」程度のことしか無理です。

Answer 3

苦労して考えたコードを見られたくないのかなぁ？と、予想してみたり。
実行直前にサーバー側からDLして実行直後に削除してあげれば、
簡単には分からないようになると思うけども…
本気で検証されるとたぶん捉えられちゃうかなとも思う。

似たようなことを考えた人がいたっぽいので参考にURL貼っておきます。

参考URL Qiita Javascriptソースコードを見られないように隠蔽してみた。
https://qiita.com/yomogenium/items/881a55417dc047756e78

Comments

[m.ts10806]

>本気で検証されるとたぶん捉えられちゃうかなとも思う
ほんとそれですよね。
いわゆるクラッカーレベルになると小手先でやったところですぐ暴かれるし、そもそも暴かれてダメなコードならローカルで遊ばせるにとどめるべきで。

[退会済みユーザー]

> m.ts10806様
ここの上位におられる方はごにょごにょできる方ばかりだと思っております。
僕程度でもげふんげふんですし。

Answer 4

eval関数で可能です。
ただし通常のスクリプトに比べてパフォーマンスが落ちる可能性があります。

また検索すればどこでも言ってると思いますが、セキュリティ上のリスクが生じ得るので、使い方と影響について正しく理解して利用すべきです。

真っ先に出てくると思われるこちらでもevalを使用しないでくださいとガッツリ書いてありますが、代替用法も色々とありますので参考にしてください。