必须加密且不能仅靠混淆，因Base64是编码、混淆无完整性校验；推荐Web Crypto API + PBKDF2，密钥须动态派生、IV每次随机，存档封装为{salt, iv, ciphertext, tag}；melonJS需重写me.save.set/get，密码来源可控，加密失败应降级恢复而非崩溃。
localStorage 里存的存档，不加密就等于贴在浏览器控制台里任人修改——对单机休闲游戏，简单混淆可能够用；但只要涉及排行榜、成就解锁、付费道具或防作弊逻辑，**必须加密，且不能只靠混淆**。
为什么 Base64 或变量重命名根本不算加密
Base64 是编码，不是加密；JS 混淆（如 javascript-obfuscator）只是让代码难读，但所有逻辑、密钥、算法仍在内存中明文存在。玩家用 DevTools 下断点、hook atob 或直接 patch decrypt 函数，5 分钟就能绕过。真正被篡改的不是“能不能看懂”，而是“改了之后还能不能正常加载”——而混淆完全不提供完整性校验。
Web Crypto API + PBKDF2 是当前最务实的方案
现代浏览器原生支持，无需引入第三方库，且能同时保证机密性与完整性（AES-GCM）。关键不是“用不用加密”，而是怎么管密钥：
- 绝不硬编码密钥字符串，比如
const KEY = "my-secret-123"—— 这等于没加 - 用用户输入的密码 + 随机
salt（每次存档生成新 salt）调用crypto.subtle.importKey+deriveKey派生密钥 - 每次加密必须用新 IV（
new Uint8Array(12)），且和密文一起存进localStorage，解密时原样取出 - 存档数据建议封装为 JSON：
{salt, iv, ciphertext, tag}，避免字段错位导致解密失败
melonJS 存档模块怎么安全接入加密
melonJS 的 me.save 默认直写 localStorage，不加密。要在不改框架源码的前提下加固，推荐在 me.save.add() 后、me.save.set() 前插入加解密层：
