【安全加密】Lua 代码混淆：字符串加密与控制流变换

完整课程入口：996 全套课程体系 ｜ Lua 学习路径 ｜ 幂尔框架 mirs.cn

混淆解决什么问题

加密防"整体拖走"，混淆防"看懂"。即便脚本被 dump 出还原成源码，混淆后的代码变量名无意义、字符串全是密文、执行顺序被打乱，阅读成本会呈数量级上升。混淆的目标不是让逆向不可能，而是让"读懂并修改某个具体功能"的时间长到不值得。

字符串加密：收益最大的一步

Lua 源码里 80% 的情报在字符串里：函数名（lib996:attr）、协议名、GM 命令、提示文案。明文字符串哪怕只做全局搜索，破解者也能秒定位"爆率在哪改"。字符串加密的做法：构建期扫描所有字符串常量，替换成 S(0x1A) 形式的解密调用，把真实串放在加密表里；运行时提供一个解密函数，首次访问时解出并缓存。

-- 构建期生成
local K = {"\x88\x12\xAF...", "\x51\xC0\x9B..."}   -- 密文表
local function S(i)
    local s = K[i]
    if not rawget(_G, "_S" .. i) then
        _S[i] = xxtea(s, KEY)                        -- 解出真串并缓存
    end
    return _S[i]
end
-- 原代码 lib996:attr(actor, 1) 变成
G[ S(17) ]( actor, 1 )

注意解密函数本身是命门：给它再加一层简单变换（每串用不同偏移异或），通用脱壳工具就会失效。

控制流平坦化与改名

改名最简单也最有效：把所有局部变量、内部函数重命名为 a/b/c，同时删除注释与全部调试信息。配合编译时 strip 掉符号表，反编译输出的可读性断崖式下降。

控制流平坦化把顺序逻辑改写成一个状态机循环：所有代码块拆进 while true do + state 分支里，真实执行顺序由运行时变量决定。逆向者必须人工追踪状态转移才能还原流程。代价是性能损耗与调试困难，只应施加在关键函数（校验、结算）上，全量平坦化得不偿失。

工程化注意事项

混淆必须在构建流水线里自动完成：源码仓库永远保存明文（开发与热更要靠它），打包脚本统一执行"改名 → 字符串加密 → 平坦化（可选）→ 编译加密"。每次构建混淆种子随机化，同一份源码每次产出的密文都不同，能显著增加比对分析难度。

最后一个提醒：混淆会毁掉 Lua 错误栈的可读性。务必保留一份"混淆名 → 源码行号"的映射表存放在内部，线上报错把映射还原后再排查，否则自己的工程师也读不懂自己的产品。