Source Map 泄露与处理

前端构建产物若携带 sourcemap，可用于还原源码结构、接口与注释；生产环境应关闭公开 sourcemap 或限制访问，仅在内部调试链路保留。

构建配置示例

Webpack：production 使用 devtool: false（仅内部 CI 产物可另配）
Vite：build.sourcemap 保持 false（默认）
必须部署时：.map 文件放内网路径并加鉴权，不与静态资源同域公开

curl -sI https://<你的域名>/assets/app.js.map
# 返回 200 且类型为相应资源时，说明该文件可被公开获取

sourcemap 泄露本身不构成执行风险，但会明显降低外部理解成本，属于应收敛的信息暴露面。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌