保护 Electron 应用程序的最佳实践

Question

我有一个 Electron 应用程序打包到一个 asar 文件中。 但是，几乎到处都提到该格式根本没有安全性。 每个人都可以npx asar extract app.asar destfolder并访问源代码+资源文件（证书、图像、音频等）。

这意味着从技术上讲，一个人可以随心所欲地篡改代码和资源文件，并使用不需要的代码创建虚假构建。

那么检查您的应用程序未被篡改的最佳实践是什么？ 另外，你认为我应该在哪里存储私钥和公共证书（我需要它们连接到我的 nodejs 服务器）。

谢谢：）

Answer 1

答案是代码签名。 有关代码签名的定义，请查看 Wikipedia ( https://en.wikipedia.org/wiki/Code_signing )。 有关 Electron 中代码签名的文档，请查看此链接https://www.electronjs.org/docs/tutorial/code-signing 。

其次，对于附加问题，私钥的目的是什么，以及谁的公共证书？ 为什么你需要这些东西来连接 nodejs 服务器？

如果要保护应用程序和服务器之间的通信通道，请使用 HTTPS。

Answer 2

你可以通过原生模块保护它，阅读这篇文章： https://www.codeproject.com/Articles/5352143/Protecting-Electron-Based-Applications-by-Using-a