防止他人轻易查看网站HTML源码需综合采用七种前端保护策略：一、禁用右键与开发者工具快捷键；二、动态渲染HTML结构；三、混淆压缩HTML及脚本；四、服务端渲染配合客户端token校验；五、启用CSP响应头限制资源加载；六、用WebAssembly封装核心逻辑；七、部署反爬行为检测脚本。
如果您希望防止他人轻易查看网站的HTML源码，以减少内容被复制或逻辑被逆向分析的风险，则需要采用多种前端保护策略。以下是实现该目标的具体方法：
一、禁用右键菜单与开发者工具快捷键
通过JavaScript拦截鼠标右键事件和常用快捷键（如F12、Ctrl+Shift+I等），可在视觉层面上抑制用户调出开发者工具或上下文菜单，从而提高查看源码的操作门槛。
1、在页面的
中引入以下脚本代码块：2、使用document.addEventListener监听contextmenu事件，并调用event.preventDefault()阻止默认右键行为。
立即学习“前端免费学习笔记（深入）”；
3、监听keydown事件，检测keyCode为123（F12）、组合键Ctrl+Shift+I、Ctrl+U等，并在匹配时执行event.preventDefault()与event.stopPropagation()。
4、将上述脚本置于所有关键资源加载完成后执行，避免因执行过早导致绑定失败。
二、动态渲染HTML结构
将核心HTML内容从静态文件中剥离，改由JavaScript在运行时通过fetch或内联数据生成DOM节点，使初始HTML文档中不包含可读的业务结构，增加直接查看源码的信息缺失程度。
1、将页面主体内容移至JSON格式的外部文件或内联script标签的CDATA段中。
2、使用document.createElement与element.appendChild逐层构建DOM树。
3、在构建完成后，调用document.body.replaceChild()或innerHTML替换空容器节点。
4、对关键节点添加随机class名与data属性，降低结构可预测性。
三、混淆与压缩HTML及内联脚本
对HTML模板字符串、内联JavaScript和CSS进行混淆处理，可显著降低源码可读性，使人工阅读与自动化解析均需额外逆向成本。
1、使用HTMLMinifier等工具对原始HTML进行压缩，移除注释、空格与换行。
2、将内联脚本替换为Base64编码字符串，并在运行时通过atob()解码后eval()执行。
3、对变量名、函数名实施AST级重命名，例如将renderPage()变为a0()，contentWrapper变为b1。
4、在混淆后的代码中插入无副作用的冗余逻辑，如空循环、假条件分支等。
四、服务端渲染配合客户端校验
利用服务端动态生成带时效性token的HTML片段，并在客户端加载时验证token有效性，若校验失败则清空body或重定向，确保非授权访问者无法稳定获取有效源码。
1、服务端在响应HTML前生成当前时间戳与密钥签名的token，嵌入meta标签或隐藏input中。
2、页面加载后立即执行校验函数，比对当前时间与token中时间差是否超限（如>30秒）。
3、校验失败时执行document.body.innerHTML = ''并调用history.replaceState()清除URL参数痕迹。
4、将校验逻辑拆分为多个分散在不同script标签中的片段，依赖执行顺序完成完整判断。
五、启用Content-Security-Policy响应头限制资源加载
通过HTTP响应头CSP限制内联脚本、eval执行及外域资源加载，可阻断多数自动化抓取工具依赖的注入手段，间接提升源码获取难度。
1、配置响应头Content-Security-Policy: script-src 'self' 'unsafe-hashes' 'sha256-xxx';
2、对所有必需内联脚本预先计算SHA256哈希值，并列入script-src白名单。
3、设置style-src 'self'，禁止内联样式与外链CSS，强制使用外部托管样式表。
4、添加frame-ancestors 'none'防止页面被嵌入iframe，规避跨框架源码探测。
六、使用WebAssembly封装核心逻辑
将敏感业务逻辑（如加密校验、权限判定）编译为Wasm模块，在浏览器中以二进制形式运行，完全脱离JavaScript源码可见范围，极大提升逆向分析门槛。
1、使用Rust或C++编写逻辑模块，通过wasm-pack或Emscripten编译为.wasm文件。
2、在HTML中通过WebAssembly.instantiateStreaming()加载并初始化模块实例。
3、定义导出函数供JavaScript调用，如validateToken()返回布尔值而非明文逻辑。
4、将.wasm文件路径设为动态拼接（如'/' + 'a' + 's' + 's' + 'e' + 't' + 's' + '/main.wasm'），避免静态扫描发现。
七、部署反爬标识与行为检测脚本
在页面中植入轻量级行为监控脚本，实时识别开发者工具开启、控制台日志输出、鼠标轨迹异常等特征，触发干扰动作，使源码查看过程不可靠。
1、轮询检查window.devtools.isOpen状态（通过console.log重写检测时序差）。
2、监听debugger语句触发频率，单页内超过3次即执行混淆DOM文本节点操作。
3、对document.body.firstChild.nodeValue等常见文本节点内容进行实时替换，插入随机Unicode零宽字符干扰复制粘贴。
4、检测到持续选中操作时，自动调用window.getSelection().removeAllRanges()清除当前选区。
