直接操作ast是企业级代码混淆与脱敏最可靠方式，能精准识别作用域、绑定关系和语义上下文，在保留功能前提下安全隐藏敏感逻辑；需按规范区分混淆/保留项，依节点类型和上下文处理导出名、环境变量、日志字符串等；应基于作用域隔离生成混淆名，分层处理字符串、对象字面量及日志参数，并保障sourcemap、注释合规与ast校验。
直接操作 AST 是实现企业级代码混淆与脱敏最可靠的方式——它不依赖字符串替换，能精准识别作用域、绑定关系和语义上下文，从而在保留功能的前提下，安全隐藏敏感逻辑、变量名和业务关键词。
明确哪些内容必须混淆，哪些必须保留
企业规范通常有硬性要求，比如：导出的 API 方法名不能改、环境变量访问（process.env.API_KEY）需跳过、日志中含用户标识的字符串要脱敏、注释里的合规声明必须保留。这些无法靠正则判断，必须在 AST 节点类型和上下文中识别：
- 跳过 ExportNamedDeclaration.specifiers 和 ClassDeclaration.id，避免破坏模块接口
- 识别 MemberExpression 中 object.name === 'process' && property.name === 'env' 的路径，整条链路不参与标识符重命名
- 对 StringLiteral 节点，检查其父节点是否为 CallExpression 且 callee.name === 'console'，再进一步判断内容是否含手机号、身份证、邮箱等模式，触发脱敏（如 138****1234）
- 保留所有以 __ 开头的标识符（如 __DEBUG__），这类常被用作编译期开关
按作用域隔离生成混淆名，杜绝跨文件冲突
企业项目多为多包协作，全局统一命名计数器会导致不同模块的 userId 全被替成 _a，调试时无法区分来源。正确做法是为每个 Scope 实例维护独立映射：
- 使用 @babel/traverse 遍历，它自动构建作用域链并暴露 path.scope
- 仅对 binding.kind === 'local' 或 'param' 的标识符生成新名；'module'（导入绑定）、'hoisted'（函数提升）一律跳过
- 混淆名格式推荐：`_${Math.random().toString(36).slice(2, 5)}${scopeId}`，其中 scopeId 可取该作用域内首个声明节点的行号哈希，确保同文件不同作用域不重名
- 务必调用 path.replaceWith() 替换节点，而非直接赋值 node.name，否则引用关系不会更新，导致后续查找失败
脱敏不止于变量名：字符串、对象字面量、日志参数需分层处理
真实业务中，敏感信息常藏在字符串、配置对象或函数调用参数里。单纯重命名变量远远不够：
- 对 ObjectExpression，遍历所有 Property，若 key.name 匹配 ['idCard', 'phone', 'email'] 等关键词，则将对应 value（无论是否为字面量）替换为脱敏表达式，例如 JSON.stringify(value).replace(/\d{4}(?=\d{4})/g, '****')
- 检测 TemplateLiteral 中是否拼接了敏感字段，如 `User ${user.phone} logged in`，需提取插值表达式并脱敏后再组装
- 对日志类调用（logger.info、sentry.captureMessage），检查参数列表，将含敏感结构的对象参数自动包裹为 maskObject(obj) 调用，该函数在运行时执行脱敏
- 所有脱敏逻辑必须附带白名单开关，例如通过 /* @no-obfuscate */ 注释标记某段代码完全跳过处理
生成阶段必须保障可调试性与合规输出
混淆后代码若无法定位错误、丢失 sourcemap 或残留调试信息，会直接违反企业运维规范：
- 调用 @babel/generator 时传入 sourceFileName 和 sourceMapTarget，启用 sourceMaps: 'both'
- 设置 comments: false，但对含 /* @license */ 或 /* @copyright */ 的注释显式保留
- 禁用 minify: true（交给 esbuild/swc 专项压缩），本插件只做语义安全的混淆与脱敏，避免语法变形引入风险
- 输出前执行轻量 AST 校验：检查是否有未解析的 Identifier 引用、是否存在空 BlockStatement、是否意外修改了 Literal 节点——任一异常立即报错并终止发布
