文章反驳了"隐蔽性安全完全无用"的观点，指出单纯依赖隐蔽性确实不足（遵循克克霍夫原则），但作为额外安全层是有价值的。作者以JavaScript混淆为例，说明合理使用隐蔽手段能有效增加攻击难度，批驳了那些盲目反对一切隐蔽措施的教条主义观点。

走出人云亦云的误区

最近我在一个网页开发论坛上看到用户小萌的提问：是否值得对网站运行的某些JavaScript脚本进行混淆处理？这位开发者的主要目的是增加数据爬虫逆向解析API请求的难度。

随后我看到了用户回声那条获得高赞的评论：

隐蔽式安全是糟糕的实践

更令人担忧的是，这条被简单复述的格言获得了许多盲目附和的点赞。我决定作出回应：

隐蔽式安全并非糟糕实践

完全依赖隐蔽的安全才是问题所在（参见克克霍夫原则）

作为附加防护层的隐蔽措施是有价值的！

令人惊讶的是，回声坚持认为所有隐蔽措施都是多余的，尤其在AI时代更应彻底摒弃。本文将论证为何这种观点是错误的。

安全不需要"展示解题过程"

隐蔽式安全的核心在于减少系统内部细节的暴露。这就像把备用钥匙藏在门垫下而非插在锁孔里——虽然不能杜绝风险，但能有效提高攻击成本。正如深度防御策略所示，理想的安全体系应该：

1. 建立符合风险等级的基础防护
2. 叠加隐蔽层增加攻击复杂度
3. 通过时间成本消耗攻击者耐心

现实世界的隐蔽实践

WordPress数据库前缀修改

将默认的wp_users表名改为wp_8df7b8_users常被诟病为"无效安全"。但2015年某插件出现SQL注入漏洞时，我的网站因这个简单改动逃过了自动化攻击脚本的扫描。虽然理论上攻击者可以尝试穷举查询，但成本效益比让他们选择了放弃。

CSGO的调试符号泄露

当Valve意外发布包含调试符号的macOS版本时，游戏内部函数如CBaseEntity::SetHealth完全暴露。这既催生了新MOD，也助长了外挂开发。Valve迅速撤回带符号版本，印证了二进制混淆对反作弊的价值。

代码混淆技术

从Google reCAPTCHA到Netflix的DRM系统，再到Riot Vanguard反作弊，主流企业都在使用代码混淆： - reCAPTCHA通过复杂混淆增加自动化破解成本 - Netflix的浏览器端DRM通过混淆保护视频解密逻辑 - 反作弊系统混淆核心通信协议防止信号伪造

关于AI使混淆失效的论点，我的CTF实验表明：即使使用Claude Opus 4.5模型，解决一个已知答案的混淆挑战仍需4.5小时和$300成本。对于攻击者而言，这种不确定的投入产出比正是隐蔽措施的价值所在。

建立正确认知

我们应当传播这两个核心观点：

完全依赖隐蔽的安全是糟糕的
作为附加层的隐蔽措施是有效的

在AI时代，隐蔽式安全仍然是通过提高攻击成本来构建深度防御的重要组成。

主要观点总结

支持"隐蔽性作为安全补充层"的观点

1. 隐蔽性作为额外安全层有益

   • 可降低噪音攻击、减少日志干扰、提高针对性攻击检测效率
   • 例：修改WordPress默认登录URL可大幅减少自动化攻击尝试
   • 引用："Security through obscurity, as an additional layer, is good!"（Bender）
   • 引用："just changing the default URL...reduces by several orders of magnitude the number of scripts"（fortran77）

2. 增加攻击成本

   • 迫使攻击者进行针对性攻击而非批量攻击
   • 例：修改数据库前缀可阻止自动化工具直接运行
   • 引用："Obscurity means high friction...craft a specific solution"（CM30）
   • 引用："Security including obscurity is fine"（catoc）

反对"隐蔽性即安全"的观点

1. 不能替代核心安全措施

   • Kerckhoffs原则强调系统设计应假设攻击者知晓所有非秘密信息
   • 引用："Security ONLY through obscurity is bad"（thephyber）
   • 引用："Obscurity provides, effectively, no security"（linsomniac）

2. 可能产生虚假安全感

   • 导致对其他安全措施的忽视
   • 引用："breeds complacency...assumes it protects everything"（Haven880）
   • 引用："people tend to assume that the measures are far more effective"（dspillett）

AI对隐蔽性的影响

1. AI削弱隐蔽性效果

   • 自动化分析能力使代码反混淆成本趋近于零
   • 引用："with AI it absolutely does not work"（some_random）
   • 引用："AI reduces the cost of comprehension...to zero"（FrasiertheLion）

2. 可能成为最后防线

   • 当其他安全机制失效时，不共享代码成为最终手段
   • 引用："obscurity...as the primary security mechanism"（dataflow）

军事化类比

• 隐蔽性如同隐蔽（concealment），真实安全如同掩护（cover）
• 引用："Security is cover...Obscurity is concealment"（rascul）
• 引用："you should have both...obfusification of presence"（rolph）