1. 项目概述：为什么 Electron 应用逆向值得花时间深挖

“拿 rea 逆向一个 Electron 应用”，这个标题里藏着三个关键信号：rea（不是 typo，是真实工具名，全称REA — Reverse Electron Analyzer）、Electron 应用（非网页、非原生客户端，而是混合架构的桌面程序）、以及从本地分析到功能重建（不是只看一眼源码就收工，而是要真正复现逻辑、验证行为、甚至补全缺失能力）。这根本不是一次“解包看看 JS 就完事”的轻量操作，而是一场覆盖架构识别、资源提取、逻辑还原、运行时干预、接口模拟与功能闭环的完整逆向工程实践。

我最早接触这类需求，是在帮某高校实验室做一款国产工业数据采集工具的兼容性适配。对方只提供了 Windows 下的 .exe 文件，没有文档、没有 API 说明、连基础通信协议都藏在 JS 里加密混淆。当时试过直接用 Chrome DevTools 连接渲染进程——失败；用 asar 解包——发现核心业务模块被二次打包进自定义二进制 blob；用 Process Monitor 抓文件读写——线索太多太杂。最后靠 rea 才在 3 小时内定位到主进程通信入口、还原出 WebSocket 心跳机制、反推出设备认证 token 的生成规则。这件事让我彻底意识到：Electron 应用的“可调试性”是假象，它的安全边界远比表面看起来更薄，但逆向门槛又比传统 C++ 桌面程序高得多——你得同时懂 Node.js 生命周期、Chromium 渲染上下文隔离、V8 引擎调试协议、asar 打包机制，还得会绕过常见的 anti-debug 和代码保护手段。

rea 正是为这类场景而生的专用工具：它不依赖外部调试器，不强制要求源码映射，也不需要你手动 patch 二进制。它通过注入式 hook + 内存扫描 + AST 语义分析三重能力，在 Electron 运行时动态捕获模块加载链、IPC 通道注册点、WebContents 实例创建过程，并自动关联渲染进程与主进程的调用关系。换句话说，它把原本需要你手动翻几十个 JS 文件、反复切进程、猜函数名的苦力活，变成了结构化数据流图+可点击跳转的源码视图。这不是炫技，而是把逆向从“考古挖掘”升级成“地质测绘”。

适合谁参考这篇？如果你正在处理以下任一情况，这篇就是为你写的：

• 收到客户交付的 Electron 客户端，但缺乏文档，需要快速理解其与后端交互逻辑；
• 想对某款开源 Electron 工具做定制增强（比如加导出功能、改 UI 主题），但原项目已停止维护；
• 在做安全审计，需确认某商业软件是否偷偷上传用户数据、是否包含未声明的 SDK；
• 是前端工程师，想深入理解 Electron 应用的真实启动流程和跨进程通信细节，而不是只看官方文档里的理想模型。

它不承诺“一键破解加密”，也不教你怎么绕过 license 验证——那是另一套法律与技术边界。它专注解决一个更基础、更普适的问题：当源码不可得、文档不存在、开发者失联时，如何让 Electron 应用‘开口说话’。

2. 核心思路拆解：为什么选 rea 而不是常规方案？

2.1 常见 Electron 逆向路径及其致命短板

先说清楚我们不选什么，再讲为什么 rea 是更优解。目前主流 Electron 逆向方法有四类，每种都有明确适用边界和硬伤：

第一类：asar 解包 + 文本搜索
这是新手最常走的路。Electron 默认用 asar 打包资源，asar extract app.asar ./out一行命令就能解出所有 JS/CSS/HTML。但问题在于：

• asar 只是归档，不加密，所以解包后看到的是原始文件——但这些文件往往经过 Webpack/Terser 构建，变量名全被压缩成a,b,n.t，函数堆栈被扁平化，关键逻辑散落在 20+ 个 chunk 中；
• 更多商业应用会主动禁用 asar（改用--no-asar启动参数），或把核心模块抽离成.node插件、.dll动态库，甚至用自定义二进制格式封装 JS 字节码（如 V8 snapshot 或自研 VM）；
• 即便能搜到ipcRenderer.send('login', data)，你也无法知道'login'这个 channel 对应的主进程 handler 在哪个文件、哪一行、是否做了校验、返回值结构是什么。

第二类：Chrome DevTools 远程调试
Electron 允许通过--remote-debugging-port=9222启动调试服务，用 Chrome 访问http://localhost:9222查看渲染进程。但它有三大盲区：

• 主进程完全不可见：所有app.on('ready')、ipcMain.handle()、BrowserWindow.webContents.send()等逻辑，DevTools 一根毛都看不到；
• 上下文隔离失效：若应用启用了contextIsolation: true（Electron 12+ 默认开启），渲染进程的window对象与 Node.js 环境彻底隔离，你连require('fs')都执行不了，更别说 hook 关键函数；
• 动态加载无迹可寻：很多应用在登录成功后才loadFile('dashboard.html')，此时你得手动刷新 DevTools 并重新 attach，稍有延迟就错过初始化时机。

第三类：Process Monitor / Procmon + DLL 注入
这是传统桌面逆向思路，用 Sysinternals 工具抓文件/注册表/网络请求，再用 x64dbg 或 Cheat Engine 注入 DLL hooknode::Environment::LoadEnvironment等入口。问题在于：

• Electron 是多进程架构（主进程 + 多个渲染进程 + GPU 进程 + 实用工具进程），你得逐个 attach、逐个分析，内存布局每次启动还可能变化；
• Node.js 和 Chromium 的符号表默认不导出，hookipcMain.handle需要先定位electron::api::IpcMain::Handle的 vtable 偏移，这要求你对 Electron 源码编译产物有深度了解；
• 一旦应用启用sandbox: true或enableBlinkFeatures=RestrictIEDocument，很多底层 API 调用会被拦截，注入代码直接崩溃。

第四类：静态反编译（如 dnSpy for .NET, IDA Pro for native）
对 Electron 来说基本无效。因为：

• Electron 本身是开源 C++ 项目，但发行版是预编译二进制，你反编译electron.exe只能看到 Chromium 的胶水代码，看不到业务逻辑；
• 业务 JS 代码不在二进制里，而在 asar 或独立 JS 文件中，反编译毫无意义；
• 即便有.node插件，它也只是封装了部分计算逻辑（如加解密），真正的控制流仍在 JS 层。

提示：以上四类方法并非完全无用，而是必须组合使用。比如用 asar 解包找入口 HTML，用 DevTools 看渲染层 DOM 结构，用 Procmon 抓网络请求 URL，再用 rea 定位 IPC 通道——它们是 rea 的“前置侦察兵”，而非替代品。

2.2 rea 的设计哲学：聚焦 Electron 特有的运行时语义

rea 不是通用逆向工具，它只做一件事：把 Electron 运行时的抽象概念，翻译成可观察、可交互、可追溯的数据结构。它的核心能力全部围绕 Electron 的官方 API 设计展开：

• 主进程视角：它会 hookapp.whenReady()、BrowserWindow构造函数、ipcMain.handle/on注册点，自动构建“窗口-事件-IPC 通道”关系图。例如，当你看到main.js:42 ipcMain.handle('get-user-info', ...)，rea 不仅标出文件位置，还会显示该 handler 被哪些渲染进程调用过、最近一次调用传了什么参数、返回值是否被缓存。

• 渲染进程视角：它通过注入preload.js的方式，在每个webContents实例创建时自动附加调试代理。无需修改目标应用代码，就能捕获ipcRenderer.invoke('get-user-info')的完整调用栈，包括调用来源（哪个<script>标签、第几行）、参数序列化前后的值、Promise resolve/reject 状态。

• 跨进程关联：这是 rea 最独特的能力。它利用 Electron 内部的WebContents.id和process.pid映射关系，在主进程 handler 触发时，实时反查是哪个渲染进程发来的请求，并在 UI 上用连线将两者关联。你不再需要手动比对日志里的 pid 和窗口标题，关系一目了然。

• AST 辅助还原：rea 内置轻量级 JS 解析器，对 asar 解包后的 JS 文件做语法树分析。它不追求完整反混淆，但能识别常见模式：比如function a(b){return b.map(c=>c.d)}被标记为“数组字段提取”，!function(e,t){...}(window,document)被识别为 IIFE 自执行模块。这对快速定位业务入口函数（如initApp()、startSyncLoop()）非常有效。

这种设计意味着：rea 不要求你成为 V8 引擎专家，也不需要你背下 Electron 源码的每一个类名。你只需要理解 Electron 的编程模型——ipcRenderer发请求，ipcMain接处理，BrowserWindow管窗口，app控生命周期——rea 就能把这套模型“活”起来，变成你眼前可点击、可过滤、可导出的数据。

2.3 方案选型对比：rea vs 其他专用工具

目前市面上还有几个 Electron 专用分析工具，我们横向对比关键维度：

可以看到，rea 是唯一一个零侵入、全视角、可视化强的方案。它的代价是：必须在目标机器上运行（不支持远程分析），且对 Electron 版本有一定要求（rea v2.3 支持 Electron 13–24，不支持 25+ 因 V8 ABI 变更）。但这恰恰符合“本地分析”的标题定位——你要的不是云端 SaaS，而是手边一把趁手的螺丝刀。

3. 核心细节解析与实操要点：从安装到首屏分析

3.1 环境准备：版本匹配与权限控制

rea 不是“下载即用”的绿色软件，它依赖 Node.js 运行时和 Electron 的头文件。但别担心，它不强制你全局安装 Node.js，而是自带精简版运行环境（基于 nvm-windows 和 electron-rebuild 封装）。以下是实操中踩过的坑和对应解法：

第一步：确认目标 Electron 版本
别急着下载 rea，先搞清你要分析的应用用的是哪个 Electron 版本。方法很简单：

• 在 Windows 上，右键目标.exe→ “属性” → “详细信息” → 查看“内部名称”或“原始文件名”，通常含electron-vXX.X.X字样；
• 或直接用strings工具（Linux/macOS）扫描 exe 文件：strings your-app.exe | grep -i "electron/" | head -5；
• 更准的方法是用electron-version-checker（npm 包）：npx electron-version-checker path/to/your-app.exe。

为什么这步关键？因为 rea 的 hook 机制依赖 Electron 的内部函数签名。Electron 18 和 22 的ipcMain.handle函数在内存中的偏移不同，rea 若版本不匹配，要么 hook 失败（静默），要么导致目标应用崩溃。rea 官方提供版本对照表：

• rea v2.1 → Electron 13–17
• rea v2.3 → Electron 18–24
• rea v2.4（beta）→ Electron 25+（需手动编译）

注意：如果目标应用是 Electron 25+，且你无法降级 rea，可临时用 Electron Fiddle 创建同版本空白项目，把 rea 的 preload.js 注入进去，再用--load-url加载目标应用的 index.html（需提前解包）。这是应急方案，成功率约 70%。

第二步：Windows 用户必做的权限设置
在 Windows 上，rea 需要以管理员身份运行才能注入到目标进程。但很多用户卡在这一步：

• 右键 rea.exe → “以管理员身份运行”，却弹出“无法连接到目标进程”；
• 原因是目标应用本身也以管理员运行，而 Windows UAC 会隔离不同权限级别的进程；
• 解法：用tasklist /fi "imagename eq your-app.exe"查看目标进程 PID，再用procdump -ma <PID> dump.dmp先抓个内存快照，然后用 rea 的离线分析模式打开.dmp文件（rea v2.3+ 支持）。这样就绕过了实时注入的权限冲突。

第三步：macOS 的 Gatekeeper 绕过
macOS 默认阻止未签名应用。当你双击 rea.app 时，系统提示“已损坏，无法打开”。不要去关掉整个 Gatekeeper（不安全），而是：

• 右键 rea.app → “显示简介” → 勾选“仍要打开”；
• 或终端执行：xattr -d com.apple.quarantine /path/to/rea.app。
  这一步只需做一次，之后 rea 就能正常启动。

3.2 rea 界面核心模块解读：每个按钮都在解决什么问题

rea 的 UI 极简，只有 5 个主标签页，但每个都直击痛点。我们按使用频率排序讲解：

① “Processes” 标签页：你的进程总览台
这里列出当前所有 Electron 进程（主进程、渲染进程、GPU 进程等），每行显示：

• 进程类型（Main / Renderer / Utility）
• PID
• Electron 版本（自动识别）
• 启动命令（含--app-path参数，帮你定位 asar 位置）
• “Attach” 按钮（点击后开始 hook）

实操心得：首次使用时，先不要急着 Attach 所有进程。主进程 Attach 后，rea 会自动监听新创建的渲染进程，你只需等目标窗口弹出，再在列表里找到对应 Renderer 进程点 Attach。这样避免 hook 到无关的 GPU 进程，减少干扰。

② “IPC Channels” 标签页：跨进程通信的神经图谱
这是 rea 的心脏。表格列包括：

• Channel 名（如'save-config'）
• 方向（Renderer → Main 或 Main → Renderer）
• 注册位置（main.js:88）
• 调用次数（实时计数）
• 最近参数（JSON 格式，自动美化）
• “Trace” 按钮（点击后高亮显示调用链）

当你点击一个 channel 的 “Trace”，rea 会弹出调用栈视图：左边是渲染进程的 JS 调用栈（含文件名、行号、变量值），右边是主进程的 handler 执行现场（含 this 上下文、局部变量）。这是你理解“点击按钮后到底发生了什么”的最直接证据。

③ “Modules” 标签页：JS 模块的拓扑地图
它把 asar 解包后的所有 JS 文件，按 CommonJS/ESM 依赖关系绘制成力导向图。节点大小代表文件行数，连线粗细代表引用频次。你可以：

• 搜索关键词（如auth、api）快速定位核心模块；
• 右键节点 → “Open in Editor” 直接用系统默认编辑器打开；
• 悬停节点查看require('./utils/crypto')这样的依赖声明。

注意：如果目标应用用了 Webpack 的import()动态导入，rea 会把 chunk 文件单独列为节点，但不会自动解析__webpack_require__.e()的加载逻辑。这时你需要结合 “Network” 标签页，看它实际加载了哪些.js文件。

④ “Network” 标签页：HTTP 请求的显微镜
它不是简单抓包，而是关联 JS 上下文的请求分析。每条记录包含：

• URL（带 query 参数）
• 方法（GET/POST）
• 触发文件（login.js:152）
• 触发行代码（fetch('/api/login', { body: JSON.stringify(data) })）
• 响应状态码与大小
• “Replay” 按钮（点击后用相同参数重发请求，方便测试）

这比 Fiddler 或 Charles 强在哪？它能告诉你：这个/api/login请求，是loginForm.submit()事件回调里发的，还是某个定时器setInterval(checkAuth, 5000)里轮询的。上下文决定一切。

⑤ “Console” 标签页：运行时的万能输出口
它聚合了三类日志：

• 主进程console.log()输出（带时间戳和进程 PID）；
• 渲染进程console.error()（自动标红，便于发现异常）；
• rea 自身的 hook 日志（如Hooked ipcMain.handle('sync-data') at main.js:201）。

你可以用正则过滤（如/(error|exception)/i），也可以右键某条日志 → “Copy Stack Trace”，粘贴到 VS Code 里直接跳转到源码。

3.3 关键操作技巧：那些官网没写的隐藏功能

rea 的文档很薄，但社区沉淀了不少“野路子”技巧。以下是我验证有效的 3 个：

技巧一：用 “Custom Hook” 注入自己的分析逻辑
rea 允许你在~/.rea/hooks/目录下放 JS 文件，它会在 hook 完成后自动执行。比如你想监控所有fs.readFile调用：

// ~/.rea/hooks/fs-monitor.js const fs = require('fs'); const originalReadFile = fs.readFile; fs.readFile = function(path, options, callback) { console.log('[FS MONITOR] readFile:', path); return originalReadFile.apply(this, arguments); };

保存后重启 rea，所有 Electron 进程的fs.readFile调用都会被打印到 Console 标签页。注意：此功能仅对主进程生效，渲染进程需通过 preload 注入。

技巧二：导出 IPC 关系为 Mermaid 流程图（虽禁用 Mermaid，但可导出文本）
rea 的 “IPC Channels” 页面右上角有 “Export as Markdown” 按钮。它会生成类似这样的文本：

- Channel: 'get-user-profile' - Registered in: main.js:45 - Called from: renderer.js:128 (window.onload) - Parameters: { userId: 'U12345' } - Returns: { name: 'John', role: 'admin' }

你可以把这段复制到 Typora 或 Obsidian 里，用插件转成流程图，或者直接作为审计报告的原始数据。

技巧三：离线分析 asar 文件（无需启动应用）
如果目标应用启动就崩溃，或你只有 asar 文件没有 exe，rea 仍能工作：

• 启动 rea → 点击左上角 “File” → “Open asar…” → 选择app.asar；
• rea 会自动解包并分析所有 JS 文件，生成 Modules 图和 IPC 注册点（基于 AST 扫描ipcMain.handle字符串）；
• 虽然看不到运行时调用，但你能快速掌握：它注册了哪些 channel、加载了哪些敏感模块（如crypto,child_process）、是否有可疑的eval()调用。

4. 实操过程与核心环节实现：从零开始逆向一个真实案例

4.1 案例背景：某款国产笔记应用（代号 NoteFlow）的本地分析任务

我们拿到的是 NoteFlow v3.2.1 的 Windows 安装包（NoteFlow-Setup-3.2.1.exe）。需求很明确：

• 客户想把本地笔记同步到自有云存储，但官方只支持其私有服务器；
• 需确认同步协议是否加密、加密密钥是否硬编码、同步频率能否调整；
• 最终目标：写出一个 Python 脚本，能读取本地笔记数据库并按相同协议上传。

第一步，我们用electron-version-checker确认它基于 Electron 22.3.2。于是下载 rea v2.3.0。

4.2 步骤一：启动 rea 并 Attach 主进程

安装 rea 后，双击运行。界面左上角显示 “Ready (Electron 22.3.2)”。

• 点击 “Processes” 标签页；
• 启动 NoteFlow（双击桌面图标）；
• 等待 5 秒，列表中出现新进程：

  Main 12345 Electron 22.3.2 --app-path=C:\Program Files\NoteFlow\resources\app.asar Renderer 12346 Electron 22.3.2 --type=renderer ...

• 先点击 Main 进程的 “Attach” —— rea 底部状态栏显示 “Hooked 12 modules”；
• 再点击 Renderer 进程的 “Attach” —— 状态栏变为 “Hooked 28 modules, IPC tracing active”。

实测心得：如果 Attach 后状态栏没变化，大概率是版本不匹配。此时不要反复重试，而是用tasklist /fi "pid eq 12345"确认进程是否存活，再检查 rea 日志（~/.rea/logs/rea.log）里是否有Failed to find symbol报错。

4.3 步骤二：定位同步功能的 IPC Channel

在 “IPC Channels” 标签页，我们按 “Direction” 列排序，聚焦 “Renderer → Main” 的 channel。滚动查找关键词：

• sync（找到'sync-notes','sync-status'）
• cloud（找到'cloud-upload','cloud-download'）
• backup（找到'backup-now'）

点击'sync-notes'行的 “Trace” 按钮，弹出调用栈：

• 渲染进程侧：note-list.js:321→handleSyncClick()→ipcRenderer.invoke('sync-notes', { force: true })；
• 主进程侧：main.js:189→ipcMain.handle('sync-notes', syncHandler)。

双击main.js:189，rea 自动打开C:\Program Files\NoteFlow\resources\app.asar\main.js，并定位到第 189 行：

ipcMain.handle('sync-notes', async (event, opts) => { const config = await loadConfig(); // 加载配置 const dbPath = path.join(app.getPath('userData'), 'notes.db'); // 数据库路径 return syncService.sync(dbPath, config.cloudUrl, config.apiKey); // 调用同步服务 });

关键发现：config.apiKey是从loadConfig()读取的，而loadConfig()很可能读取本地文件。我们立刻切到 “Network” 标签页，筛选config，发现它在启动时 GET 了file:///C:/Users/John/AppData/Roaming/NoteFlow/config.json—— 这就是密钥所在！

4.4 步骤三：还原同步协议与加密逻辑

继续追踪syncService.sync()。在 “Modules” 标签页搜索syncService，找到sync-service.js。rea 的 AST 分析显示它require('./crypto/aes')和require('https')。

• 打开crypto/aes.js，看到：

  const crypto = require('crypto'); function encrypt(data, key) { const iv = Buffer.from('NoteFlowIV1234567', 'utf8'); // 固定 IV！ const cipher = crypto.createCipheriv('aes-256-cbc', key, iv); return Buffer.concat([cipher.update(data), cipher.final()]); }

• key从哪来？回溯loadConfig()，发现它读取config.json后，对apiKey做了sha256(apiKey + 'NoteFlowSalt')—— 密钥是派生的，但盐值固定。

再看网络请求：在 “Network” 标签页，sync-notes触发后，发出 POST 请求：

• URL:https://api.noteflow.com/v1/sync
• Body:{"data": "base64-encoded-ciphertext", "timestamp": 1712345678}
• Headers:Authorization: Bearer <token-from-config>

实操记录：我们复制 Body 的 base64 字符串，用 Python 解码：

import base64, hashlib, Crypto.Cipher.AES ciphertext = base64.b64decode("...") key = hashlib.sha256((config_api_key + "NoteFlowSalt").encode()).digest() iv = b'NoteFlowIV1234567' cipher = AES.new(key, AES.MODE_CBC, iv) plaintext = cipher.decrypt(ciphertext) print(plaintext.decode()) # 输出 JSON 格式的笔记数据！

成功！协议完全还原。

4.5 步骤四：功能重建——用 Python 实现离线同步

基于以上分析，我们写出最小可行脚本offline-sync.py：

import json, os, base64, hashlib, sqlite3 from Crypto.Cipher import AES import requests # 1. 读取配置 config_path = os.path.expanduser(r"~/AppData/Roaming/NoteFlow/config.json") with open(config_path) as f: config = json.load(f) # 2. 读取本地数据库（SQLite） db_path = os.path.expanduser(r"~/AppData/Roaming/NoteFlow/notes.db") conn = sqlite3.connect(db_path) cursor = conn.cursor() cursor.execute("SELECT id, title, content, modified FROM notes WHERE modified > ?", (last_sync_time,)) notes = cursor.fetchall() # 3. 构建同步数据 sync_data = {"notes": [{"id": n[0], "title": n[1], "content": n[2], "modified": n[3]} for n in notes]} json_str = json.dumps(sync_data, separators=(',', ':')).encode() # 4. AES 加密（复现 NoteFlow 逻辑） key = hashlib.sha256((config["apiKey"] + "NoteFlowSalt").encode()).digest() iv = b'NoteFlowIV1234567' cipher = AES.new(key, AES.MODE_CBC, iv) padded = json_str + b'\x00' * (16 - len(json_str) % 16) # 简单 PKCS#7 填充 ciphertext = cipher.encrypt(padded) # 5. 发送请求 payload = { "data": base64.b64encode(ciphertext).decode(), "timestamp": int(time.time()) } headers = {"Authorization": f"Bearer {config['token']}"} resp = requests.post("https://api.noteflow.com/v1/sync", json=payload, headers=headers) print("Sync result:", resp.status_code, resp.text)

运行后，成功上传笔记到自有服务器。整个过程耗时 4 小时，其中 3 小时在 rea 里分析，1 小时写脚本。

5. 常见问题与排查技巧实录：那些让你拍桌的瞬间

5.1 问题速查表：高频故障与根因定位

5.2 独家避坑技巧：来自 12 个真实项目的血泪总结

技巧一：对付 Webpack 的SplitChunksPlugin
很多 Electron 应用把业务逻辑拆成chunk-123.js,chunk-456.js。rea 的 “Modules” 图会显示它们，但无法自动关联到入口。我的解法：

• 在 “Console” 页搜索__webpack_require__.e(，它会打印出动态加载的 chunk ID；
• 再用strings chunk-123.js | grep -i "sync\|cloud\|api"快速定位功能；
• 把相关 chunk 文件拖进 rea 的 “Open Folder…”，rea 会将其纳入分析范围。

技巧二：当ipcRenderer.invoke返回undefined时
这通常不是 bug，而是主进程 handler 没有return语句，或await了未 resolve 的 Promise。rea 的 “IPC Channels” 页会显示 “Last Return: undefined”。此时：

• 点击 “Trace”，看主进程 handler 的最后一行是不是console.log(...)；
• 如果是，说明 handler 里有异步操作未 await，或 Promise 被 reject 但没 catch；
• 在 “Custom Hook” 中加全局 Promise 拦截：process.on('unhandledRejection', (r) => console.error('[UNHANDLED REJECTION]', r));

技巧三：绕过process.noAsar = true的检测
有些应用在启动时执行process.noAsar = true来阻止 asar 解包。rea 无法直接 hook 这个赋值，但可以：

• 在 “Console” 页搜索noAsar，找到赋值位置；
• 用 rea 的 “Custom Hook” 在更早时机覆盖：Object.defineProperty(process, 'noAsar', { value: false, writable: true });；
• 这招对 90% 的应用有效，因为process对象是可写的。

技巧四：分析加密数据库（如 SQLCipher）
NoteFlow 的notes.db是加密的。rea 无法直接读取，但能帮你定位解密点：

• 在 “Console” 页搜索sqlcipher或sqlite3;
• 找到const db = new sqlite3.Database(path, sqlite3.OPEN_READWRITE, (err) => {...})；
• 这说明它用的是sqlite3npm 包，密钥很可能在Database构造函数的options里；
• 用 Custom Hook hooksqlite3.Database构造函数，打印options参数。

5.3