前端 JS、Android APK、iOS App、桌面客户端，本质上都是把代码交到了用户手里。既然代码运行在用户自己的设备上，就意味着用户可以反编译、Hook、抓包，甚至完全脱离客户端，用 Python、Go 重新实现一套请求逻辑。
客户端安全有一个很重要的前提：
不要试图让客户端变得可信，而是假设客户端已经被破解之后，系统仍然是安全的。
Web 最明显，用户拥有：
HTML / CSS / JavaScript
DevTools
网络抓包
JS 修改能力
App 只是逆向成本更高，本质没有区别。
所以可以简单理解为：
Client = 不可信
Network = 不可信
Server = 信任边界
例如商城下单，客户端只应该告诉服务器：
我要购买 productId = 888
而：
价格
库存
优惠
用户权限
积分
奖励
全部应该由服务端重新计算和校验。
也就是：
客户端负责表达意图，服务器负责决定结果。
很多接口会在客户端放一个密钥：
signature = HMAC(data, SECRET_KEY)
然后认为别人不知道 SECRET_KEY 就无法模拟请求。
但只要客户端能够使用这个密钥，攻击者最终也可以通过逆向、内存读取或者 Hook 获取它，甚至直接调用客户端自己的签名函数。
所以真正的：
API Secret
支付私钥
数据库密码
服务端签名私钥
都不能放客户端。
timestamp、nonce、requestId、动态签名仍然有意义，可以防止简单重放和提高模拟成本，但不能因此认为客户端可信。
接口协议一旦被分析出来，攻击者完全可以：
Python
Go
Node.js
模拟器
设备农场
↓
API
这时问题已经不再是：
怎么防止客户端被破解？
而是：
怎么判断正常用户和自动化程序？
怎么把批量攻击成本提高？
现代系统一般会同时使用几层手段。
移动 App 可以使用 Apple App Attest / DeviceCheck、Android Play Integrity 等机制，让服务器获得额外的信息：
是不是正版 App
App 是否被篡改
设备环境是否可信
请求是否来自真实设备环境
大概可以理解成：
App
↓
系统生成 Attestation
↓
Server 验证
这样简单的 Python 脚本、模拟器、修改版 App 就很难伪装成正常客户端。
但它仍然不是绝对防护，因为攻击者还可以控制真实设备。
所以 Device Attestation 更准确的作用是：
提高伪造客户端的成本，而不是证明客户端绝对可信。
设备正常也不代表行为正常。
比如正常用户：
打开首页
↓
浏览商品
↓
停留几秒
↓
加入购物车
↓
下单
机器人可能：
登录
↓
POST /coupon
↓
POST /order
↓
300ms 完成
所以风控系统还会观察：
请求频率
接口调用顺序
账户年龄
IP / ASN
设备变化
登录行为
失败次数
页面停留时间
鼠标 / 触摸轨迹
历史行为
移动端甚至可以结合陀螺仪、触摸事件等信号。
最终形成一个 Risk Score：
正常 → 放行
可疑 → 限流
高风险 → CAPTCHA / 二次验证
极高风险 → 拒绝
单一指标都可以伪造，但多个维度组合起来之后，批量模拟的成本会越来越高。
客户端混淆、加壳、反调试同样有价值：
JS Obfuscation
R8 / ProGuard
Native
代码混淆
字符串加密
反调试
Anti-Frida
Certificate Pinning
一些 Anti-Bot 系统还会让前端动态计算 Token，将：
时间
浏览器环境
设备信息
随机 Challenge
组合进请求。
攻击者当然仍然可以继续逆向，但如果客户端逻辑和 Challenge 不断变化：
昨天破解的脚本
↓
今天可能失效
原本几个小时能完成的工作，可能变成持续维护。
所以这些手段真正的目标不是：
无法破解
而是：
提高破解和维护成本
无论客户端做多少保护，最后一道防线仍然应该在服务端。
例如：
Account Rate Limit
Device Rate Limit
IP Rate Limit
接口频率
账号关联
设备关联
异常地理位置
CAPTCHA
二次验证
如果：
一个 IP 每秒下单 50 次
500 个账号来自同一批设备
一个账号一分钟切换几十个 IP
即使请求本身完全合法，也应该进入风控。
所以真正的防刷体系往往是：
身份认证
↓
防重放
↓
Rate Limit
↓
Device Attestation
↓
行为风控
↓
动态 Challenge
↓
服务端业务校验
客户端安全最容易陷入的问题是：
怎么隐藏接口？
怎么隐藏 Secret？
怎么阻止抓包？
怎么让 APK 无法破解？
但更合理的安全模型应该直接假设：
客户端已经破解
接口协议已经泄露
攻击者可以构造任意请求
然后再问：
系统还安全吗？
现代安全实际上越来越像一个经济学问题。
你无法阻止一个有足够时间的攻击者把单个客户端研究透，但可以通过：
设备证明
+
行为风控
+
动态 Token
+
限流
+
混淆
+
服务端校验
让他从：
写一个脚本就能刷
变成：
需要大量真实设备
大量账号
大量 IP
持续逆向维护
绕验证码和风控
最终做到：
攻击依然理论可行，但成本已经高于收益。
这才是客户端安全真正应该追求的目标。