manifest.json的confusion配置仅对App云打包生效，微信小程序和H5需通过vue.config.js集成ja vascript-obfuscator插件实现构建时混淆，且须限定业务文件、禁用破坏性选项并验证产物。
uni-app 项目打包后 JS 混淆压缩，不能靠 manifest.json 全局开启，也不能指望 HBuilderX 点“发行”就自动搞定——它只对 App（云打包）原生混淆生效，小程序/H5 必须自己配构建工具链。
manifest.json 的 confusion 配置只对 App 云打包有效
不少人会想当然地觉得，只要在 manifest.json 的 "app-plus" → "confusion" 里补上 resources，所有 JS 就都能被保护起来。其实并不是这么回事。这个配置真正作用到的，只是最终打出来的 iOS/Android 安装包，也就是 .ipa 和 .apk；而且生效范围也有限，主要覆盖 nvue 和独立的 .js 文件，比如 main.js，或者通过条件编译放在 app-plus 下的模块。至于微信小程序、H5、支付宝这些端，根本不会理会这项配置。
- 配置写错路径（比如漏掉
app-plus层级）会导致云打包时混淆不生效 - vue 页面里内联的 JS 不会被混淆，必须抽离成独立
.js文件 + 条件编译包裹 - 如果该 JS 同时被非 App 端引用（如 H5），混淆后可能因语法兼容性报错
小程序/H5 必须用 webpack 插件做构建时混淆
微信小程序、H5 等基于 Webpack 构建的平台，得靠 ja vascript-obfuscator 或 TerserPlugin 在 vue.config.js 中注入。注意：uni-app 的默认构建流程不启用混淆，必须手动加。
- 推荐用
ja vascript-obfuscator（比 Terser 更强混淆能力），但别开controlFlowFlattening或deadCodeInjection，否则小程序运行时报Unexpected token或白屏 debugProtection: true和rotateStringArray: true是安全与可读性的折中选择，实测兼容性较好- 混淆目标应限定在业务逻辑文件（如
utils/api.js），避免混淆node_modules或框架代码，否则require失败 - H5 端混淆后需关掉
sourceMap，否则 devtools 仍能还原部分逻辑
混淆后必须验证实际产物是否生效
很多人配完就以为完事了，结果上线后 js 还是明文。关键要确认你检查的是正确路径下的文件：
- 小程序：打开
unpackage/dist/build/mp-weixin目录，直接用文本编辑器打开任意.js文件，搜索关键词（如函数名）看是否已变成_0xabc123类似格式 - H5：检查
unpackage/dist/build/h5/static/js/下的 chunk 文件，不是index.html里的内联脚本 - App：解压 .ipa/.apk 后找
www/或assets/目录，确认混淆文件内容是乱码而非 base64 编码（base64 是加密，不是混淆） - 如果发现混淆没生效，先
console.log(process.env.NODE_ENV)确认是否走的是 production 分支
代码混淆从来不是“配完就不用管”的一次性工作。每次升级 ja vascript-obfuscator 版本、切换 uni-app 编译器（v2/v3），或者引入新语法（比如 optional chaining），都可能让混淆后的代码在某个端上直接崩掉。更稳妥的方式其实很明确：只对真正敏感的模块做混淆，混淆完成后一定要上真机实测，别只盯着控制台日志就下结论。
