React Native 项目上线 iOS 时，有一个细节很容易被忽略，JS 代码虽然已经打包成 bundle，但并不等于不可读。如果直接解包 IPA，可以在资源目录中找到 .jsbundle 文件，通过格式化后依然能看出业务逻辑。
在一个包含支付和会员模块的 React Native 项目中，我们专门做了一次代码加密与结构隐藏的处理。目标不是绝对防护，而是让代码阅读成本明显提高，同时不影响应用运行。
React Native 构建阶段处理 JS Bundle
React Native iOS 发布时会生成一个 JS bundle 文件，例如：
main.jsbundle
这个文件位于：
Payload/App.app/main.jsbundle
如果直接打开，可以看到压缩后的 JS，但经过格式化仍然可以阅读。
使用 Metro 生成压缩 bundle
在打包阶段，可以执行：
npx react-native bundle \
--platform ios \
--dev false \
--entry-file index.js \
--bundle-output main.jsbundle \
--assets-dest ./assets
--dev false 会关闭开发模式，减少调试信息。
使用 terser 进一步压缩
在生成 bundle 后，可以使用 terser 再压缩一次：
terser main.jsbundle -o main.min.jsbundle
压缩后：
- 变量名会被缩短
- 代码结构变为单行
- 可读性明显下降
然后用压缩后的文件替换原 bundle。
处理 JS 中的关键字符串
React Native 项目中，有些逻辑是通过字符串触发的，例如：
"login_success"
"vip_purchase"
"payment_callback"
这些字符串如果直接暴露在 bundle 中，仍然可以帮助分析逻辑。
可以在打包前做一次简单替换，例如：
"login_success" → "a1b2c3"
这一步可以通过脚本完成，例如 Node.js 脚本批量替换。
需要注意的是，这类替换必须与业务逻辑保持一致，否则会影响运行。
查看 IPA 中的 React Native 资源结构
构建 IPA 后，可以解压查看：
Payload/App.app/
React Native 相关内容包括：
- main.jsbundle
- 图片资源
- 字体文件
- json 配置
如果资源目录保持开发结构，例如：
assets/images/vip_banner.png
assets/config/payment.json
这些路径本身就是信息。
在 IPA 层处理资源与 JS 文件
React Native 的 bundle 和资源已经打包进 IPA，此时可以直接在 IPA 层处理。
Ipa Guard 支持对资源文件进行统一处理，包括：
- JS
- JSON
- 图片
- HTML
- 音频
在工具中加载 IPA 后，进入资源模块，勾选 JS 和图片类型。
执行后：
main.jsbundle → x92kd.bundle
vip_banner.png → a83kd.png
工具会同步更新资源引用路径，因此不会影响运行。
对原生模块进行符号混淆
React Native 项目中仍然包含 iOS 原生代码，例如：
- 原生桥接模块
- 第三方 SDK
- Objective-C / Swift 文件
这些部分在 IPA 中依然是 Mach-O 二进制。
使用 Ipa Guard 可以对这些符号进行混淆：
- 类名
- 方法名
- 参数名
- 变量名
例如：
RNPaymentModule → k39sd2
handleLogin → a8d2k1
混淆后，再通过 strings 查看二进制，原有名称已经消失。
修改资源 MD5 与图片特征
如果多个应用共享相同资源，例如 UI 图标或背景图，可以对资源 MD5 进行处理。
在 Ipa Guard 中开启图片处理选项后：
- 图片内容保持一致
- MD5 值发生变化
这样可以避免资源被简单比对识别。
清理调试信息
React Native 构建过程中可能包含日志字符串。
可以运行：
strings AppBinary | grep React
如果输出包含调试信息，可以在 IPA 处理阶段清理。
Ipa Guard 支持删除部分调试信息，使二进制更干净。
重新签名并安装测试
所有 IPA 修改都会导致签名失效，因此需要重新签名。
可以使用命令：
kxsign sign app.ipa \
-c cert.p12 \
-p password \
-m dev.mobileprovision \
-z test.ipa \
-i
也可以直接在 Ipa Guard 中配置证书并完成签名。
设备连接后，应用会自动安装。
验证 React Native 运行状态
安装完成后，需要重点测试：
- JS 页面是否正常加载
- Bridge 调用是否正常
- 登录、支付等关键流程
- 动态加载资源是否成功
如果某些模块异常，可以回到资源或符号配置中调整。
React Native 代码加密不能只依赖 JS 压缩。bundle 处理只是第一步，资源结构、原生模块符号以及 IPA 层信息同样会影响代码暴露程度。
在实际项目中，通过 Metro + terser 处理 JS，再结合 Ipa Guard 对 IPA 进行资源混淆和二进制符号处理，可以在不修改源码结构的前提下提升整体安全性。
