05｜首个十分钟逆向任务

目标：完成对自己编写 JS 示例的一次静态分析。
分类：上手｜核查日期：2026-10-21｜状态：操作方案，需读者在自己环境中验证。

返回首页 · 官方来源 · 安全与许可

前置条件

• 只分析自己拥有或获明确许可的目标；不要破解许可证、规避 DRM、探测陌生账号或收集第三方私人信息。
• 先记录操作系统、目标版本、REA CLI/npx 实际版本、Node/npm 版本和分析目标 SHA256。
• 静态线索、运行行为、独立猜测、已测试重建必须各自标注来源。不把 Agent 的“完成了”当成功证据。

跟着做

1. 第 1 步：进入本项目 examples/mini-app 目录，查看 README 和源码。
2. 第 2 步：运行 node test.mjs，先确认这个可授权样本原本的行为。
3. 第 3 步：使用 npx -y rea-agents@latest analyze-javascript-application /绝对路径/rea-guide-cn/examples/mini-app --json。
4. 第 4 步：比较 REA 返回的模块、引用、边界与本项目源文件；记录未检出的项。
5. 第 5 步：要求 Agent 解释 summarizeOrder 的行为，并用原测试数据交叉检查。

可复制的 Agent 指令

我正在做合法授权的 REA 逆向研究，目标是【自己的软件/公开授权样本】。
任务：用 REA 静态分析我的示例 JS 项目，说明 summarizeOrder 的输入、计算规则、调用方和文件位置；每项结论附证据，最后给出可运行的验证测试。
范围：只读分析，只有真实许可证允许的对象和数据；不要下载未知二进制、修改应用、登录未授权账号、提取秘密或绕过 DRM。
输出：操作前提/可用工具/直接观察与路径/证据/仍需验证的推断/下一步最小实验。
在进行任何配置更改、软件安装或运行目标程序前，先向我展示计划并等待批准。

验收清单

• 原始目标来源、版本和授权范围可追溯。
• 每个主要主张有真实文件路径/函数地址/调用引用或行为证据。
• 记录真实命令和执行结果；若未运行 REA，则明示未运行。
• 提供一个可以推翻主结论的实验。
• 没有泄露个人信息、密钥或第三方受版权保护资源。

红队审核

高频误区：不要把本地已跑通的 Node 单测错误地描述成 REA 已在你的机器运行成功。

反证问题：如果当前观察来自另一版本、另一分支或模拟环境，结论是否还成立？若无法证实，就改写为“有待验证”。

延伸阅读

REA 安装官方文档 · REA 官方仓库 · 实验记录模板

---

独立中文教程，非 REA 官方出品。AI 酋长 Andy · 微信 AIPMAndy · https://metaver.vip/