난독화된 JS에서 API 주소와 토큰 흐름을 확인하는 순서

첫 번째로 URL과 API 경로를 분리합니다

코드 안의 `/api/`, `https://`, `fetch`, `XMLHttpRequest`, `axios` 호출은 분석의 시작점입니다. 난독화가 되어 있어도 브라우저가 실제 요청을 보내려면 최종 URL 문자열이 만들어져야 합니다. 이 문자열을 찾으면 기능 단위가 자연스럽게 나뉩니다.

상대 경로 API는 현재 도메인 기준으로 요청되고, 절대 URL은 외부 서버와 연결될 수 있습니다. 분석 리포트에서 후보를 먼저 모아 보면 로그인, 프로필, 주문, 결제, 통계 같은 기능 경계가 드러나는 경우가 많습니다.

Authorization과 토큰 저장 위치를 같이 봅니다

`Authorization: 'Bearer ' + token` 형태가 보이면 token 값이 어디서 오는지 따라가야 합니다. 흔한 위치는 `localStorage.getItem('token')`, `sessionStorage.getItem(...)`, cookie, 전역 상태, 이전 API 응답입니다.

YAL은 단순 별칭을 치환해 `Authorization: 'Bearer ' + localStorage.getItem('token')`처럼 한 줄에서 의미가 드러나는 형태를 만들려고 합니다. 이렇게 정리되면 인증 헤더와 저장소 키의 관계를 훨씬 빨리 확인할 수 있습니다.

• Authorization 헤더 확인
• Bearer·Basic 같은 인증 방식 확인
• localStorage·sessionStorage 키 확인
• document.cookie 접근 확인
• 응답 JSON에서 다음 요청 값이 만들어지는지 확인

응답 처리 변수는 response와 data로 나누면 읽기 쉽습니다

난독화 코드는 `const _0xabc = await fetch(...); return _0xabc.json();`처럼 의미 없는 이름을 사용합니다. 이 경우 첫 변수는 네트워크 응답이고, `json()` 결과는 실제 데이터입니다. 이를 response와 data 단계로 분리하면 흐름이 명확해집니다.

YAL의 가독성 정리는 이런 단순한 비동기 흐름을 사람이 읽기 좋은 이름으로 바꾸는 데 집중합니다. 완벽한 타입 추론은 아니지만, 코드 리뷰나 장애 분석에서는 이 정도 정리만으로도 시간을 크게 줄일 수 있습니다.

정적 분석과 브라우저 네트워크 탭을 함께 사용합니다

정적 해제는 후보를 빠르게 찾는 데 강하지만 실제 요청이 언제 실행되는지, 조건문에 막히는지, 서버 응답에 따라 달라지는지는 런타임 확인이 필요합니다. 권한 있는 코드라면 브라우저 개발자 도구의 Network 탭에서 실제 요청과 해제 결과를 대조하세요.

단, 타인의 서비스에 무단 요청을 보내거나 인증 우회를 시도하는 것은 허용되지 않습니다. 분석은 자신이 소유하거나 검토 권한이 있는 코드와 환경에서만 수행해야 합니다.