网页加密不等于锁死。网页绝大多数你看到的加密解密“加密网页”，只是网页浏览器和服务器之间那条路被罩了层塑料膜——HTTPS。它管的加密解密是传输过程，不管网页内容本身。网页你打开开发者工具，加密解密照样能看到HTML、网页CSS、加密解密JavaScript。网页真正让人挠头的加密解密是另一种：页面代码被混淆、压缩、网页加密，加密解密变量名全是网页乱码，逻辑绕成迷宫。加密解密这种才需要“解密”，网页但严格说，叫“反混淆”更准确。

我去年帮朋友看一个抢购脚本，对方发来一个网址，右键查看源代码，只有一行：eval(function(p,a,c,k,e,d){ ...}。这就是典型的JS加密。eval会执行一串被编码的字符串，浏览器跑完才生成真正的页面。你直接复制那串代码去控制台跑，大概率报错，因为它依赖当前页面的环境变量。

对付这种，最笨也最有效的办法是：让浏览器自己解密。打开Chrome，按F12，切到Sources面板，找到那个加密的JS文件，在eval那一行前面打个断点。刷新页面，代码会停住。这时候别急着按继续，看右侧的Scope面板，里面已经有解密后的变量值。或者更简单——把eval改成console.log，把要输出的字符串打印出来，再复制到新文件里格式化。我试过十几次，八成以上的简单加密都能这么扒掉。

复杂点的，比如用了obfuscator.io那种工具，字符串被拆成数组，还加了控制流平坦化。你看到的是while循环里一堆switch case，每个case只做一件小事。这种手动跟会疯掉。我一般用de4js这个在线工具，把代码贴进去，选对混淆类型，它能还原出可读版本。但别指望完美，有些变量名回不来了，得自己顺着逻辑猜。

还有一种“加密”是服务端渲染的。你看到的HTML里全是占位符，真正内容靠AJAX请求回来再填进去。这时候解密没用，得抓包。打开Network面板，过滤XHR，看哪个请求返回了你要的数据。有时候数据是Base64编码的，有时候是JSON里套了一层AES。AES的密钥通常藏在某个JS文件里，搜decrypt或者CryptoJS就能找到。我见过最离谱的，密钥是动态生成的，每次刷新页面都变，那就只能模拟浏览器执行整个JS环境。

说个具体案例。某电商网站的价格数据被加密成U2FsdGVkX1+...，一看就是CryptoJS的AES默认格式。我在Sources里搜AES.decrypt，找到调用处，发现密钥是secretKey，硬编码在一个工具函数里。直接复制那段解密代码到控制台，传入密文，价格就出来了。整个过程不到五分钟。但如果你不懂JS，可能会觉得这网站固若金汤。

别碰法律红线。解密自己公司的内部系统、分析自己付费买来的服务，没问题。破解别人家的付费墙、爬取受保护的数据，那是另一回事。技术本身中立，用在哪，你自己掂量。

最后说个反直觉的：很多网页根本没必要解密。你看到的“加密”，只是开发者为了防小白复制，把右键菜单禁了，把F12快捷键拦了。这种用浏览器菜单里的“更多工具-开发者工具”就能绕过。真正花心思加密的，要么是黑灰产，要么是核心商业逻辑。普通网页，扒开那层皮，里面往往就是一堆没整理过的烂代码。