JS 有什么手段可以判断一个函数是不是原生代码吗？

[xieqiqiang00]

比如 XMLHttpRequest，有没有什么手段可以知道这个东西有没有被人为重写？
网站找了不少方法都做不到
下面是我做的一些尝试，这些检测方法都能被绕过

{
    function isNative(api) {
        return /native code/.test(api.toString()) && typeof api !== 'undefined'
    }

    let test = function (input, fake) {
        console.log("------------------------")
        console.log("是否是伪造:", fake)
        console.log("toString:", input.toString())
        console.log("toString.toString:", input.toString)
        console.log("prototype 方法", input.hasOwnProperty("prototype"))
        console.log("toString.call","方法",Function.prototype.toString.call(input))
        console.log("网传最不靠谱方法：isNative", isNative(input))
    }
    test(XMLHttpRequest, false)
    {
        let XMLHttpRequest = function () {
            "[native code]"
        }
        XMLHttpRequest.toString = function () {
            return "function XMLHttpRequest() { [native code] }"
        }
        let toString = function () {
            return "function toString() { [native code] }"
        }
        toString.toString = toString
        XMLHttpRequest.toString.toString = toString
        Function.prototype.toString = toString
        delete XMLHttpRequest.prototype
        test(XMLHttpRequest, true)
        // XMLHttpRequest.prototype = undefined
        // test(XMLHttpRequest, true)
    }
}

[JK9993]

Function.prototype.toString.call

[JK9993]

哦，不行

[JK9993]

如果原型链上的 toString 被修改了，就只能检测到 toString 被修改这一步了

[xieqiqiang00]

@JK9993 怎么检测 tostring 被修改了？

[JK9993]

你可以构造一个函数，然后 toString 输出

[xieqiqiang00]

@JK9993 不行，我试过

[7075]

首先你先想想怎么给“原生 /非原生”下一个明确的、可量化、可操作的定义。
有了定义，才有分类的判断标准。
如果能拿到目标函数原始的代码，那么可以用代码做指纹...

[mopig]

@xieqiqiang00 Function.prototype.toString.call(Function.prototype.toString) 这样检测🤔

[xieqiqiang00]

@7075 我指的原生就是看不到代码，可能都不是 JS 实现的，浏览器内置的这些东西<br>
fetch 、XMLHTTPRequest 这种

[daysv]

XMLHttpRequest.toString()

"function XMLHttpRequest() { [native code] }"

[xiangwan]

如果你信任你的运行时，这个判断才有意义

[daysv]

再加一个 XMLHttpRequest.toString.toString() ?

[xieqiqiang00]

@JK9993 懂了

[xieqiqiang00]

@daysv 我最上面的代码就能绕开这个了

[xieqiqiang00]

@xiangwan 提高一下成本，打开控制台随便改改就能操作，门槛也太低了

[chogath]

没懂需要判断的需求是什么，可否描述下场景和需求啊

[7075]

这个问题往大了说是一个哲学问题。怎么证明你是你。
还不如从原始需求出发，解决最直接的需求问题。

[xieqiqiang00]

@chogath 想法是用 electron 写一个程序，代码用 vm 预编译，网络用 electron 的证书绑定，但如果直接改 js 文件重写了 XHR，通信的具体细节还是会一览无余。希望提高破解者的破解成本

[chogath]

@xieqiqiang00 js 有转移二进制码，或者可执行文件的第三方库，或许你可以从这个角度去考虑？

[maichael]

如果你想沿着现有思路走基本是走不通的，毕竟你的检测工具都可能被篡改。
还不如回到你的需求本身，考虑下其它的方向。