所有防护手段提升的是破解难度，而不存在不会被破解； 加 vmp 也有需要注意的事项，多读文档； 密码学最佳实践是绝对不建议自己实现、修改加密算法的，但你做这类客户端防护却可以来上几个，而不是调用常用库； 当然最好还是别信任任何客户端信息，前端对抗无止境也不靠谱。尤其是你这种要保护的核心在后端 API ，其实非常简单，建议做个有注册成本的用户系统，例如小众你完全可以人工审核，后端按用户过滤、限频即可，另外做好服务器防护。
@leokun token 是服务端生成的，你换 token ，服务端也很容易识别。 以下情况可以酌情弹验证码: 1.同一个 token 调用 api 的频率小于 1s(判断不是人为多次点击，而是机器调用 api) 2.新 token 生成后，3s 内马上请求后端接口(人为复制粘贴不可能这么快) 反爬是为了增加爬虫的成本，道阻且长。
