source map 仅做位置映射，不支持脱敏；真正需控制的是文件路径、源码内嵌和上报字段三处暴露面，且须在构建、部署及上报环节分别配置。
Source Map 本身不脱敏，它只做映射；所谓“精准脱敏”其实是误用术语——真正要做的是精准还原 + 有选择地隐藏源码内容，而不是靠 Source Map 去混淆或过滤堆栈。
为什么不能用 Source Map 实现“脱敏”？
Source Map 的 mappings 字段记录的是位置对应关系（哪一行哪一列对应原始文件的哪一行哪一列），sourcesContent 字段才决定是否内嵌原始代码。它没有字段用于“过滤变量名”“替换函数名”或“隐藏敏感行”。混淆（如 Terser 的 keep_fnames、ProGuard 的 -assumenosideeffects）和脱敏（如日志 scrubbing、堆栈字段清洗）是构建前/上报时的独立步骤，和 Source Map 无关。
常见误解：看到 Sentry 或浏览器里堆栈显示了原始文件路径或变量名，就以为是 Source Map “泄露了”，其实那是 sources 和 names 字段正常参与解析的结果——这不是漏洞，是设计使然。
- Source Map 的作用 = 把
app.min.js:1:1234映射回src/utils/api.ts:42:5 - 是否显示
api.ts内容，取决于你是否写了sourcesContent，以及浏览器/Sentry 是否启用了“显示源码”功能 - 是否暴露路径（如
/Users/alex/project/src/...），取决于sourceRoot和构建时的output.path配置
真正要控制的三个暴露面
生产环境堆栈“看起来敏感”，往往来自这三处，每处都需要独立配置：
-
文件路径暴露：Source Map 的
sources数组里写的是绝对路径（如/home/ci/project/src/index.ts）。解决方法是在 Webpack 中设output.devtoolModuleFilenameTemplate: '[resource-path]'，或 Vite 中配build.rollupOptions.output.sourcemapPathTransform，统一转为相对路径 -
源码内容内嵌：如果生成了
sourcesContent字段（Webpack 默认devtool: 'source-map'会包含），.map 文件体积暴涨且含完整源码。应改用devtool: 'hidden-source-map'并确保不写sourcesContent: true -
错误上报字段未清洗：SDK 上报的
exception.values[0].stacktrace.frames里可能含原始参数值、URL query、用户输入。这不是 Source Map 的问题，而应在 Sentry.init() 里用beforeSend过滤，例如正则替换/token=[^&]+/g→token=[REDACTED]
Android/iOS 混淆后堆栈里的“脱敏”错觉
很多人觉得 ProGuard 后堆栈里出现 com.a.b.c.d(Unknown Source:0) 是“脱敏成功”，其实这只是没映射上——Unknown Source:0 表示 mapping.txt 未被正确加载或版本不匹配，不是主动脱敏。真要控制可见性：
- Android：用
-renamesourcefileattribute把SourceFile属性统一改成Source.java，避免暴露真实文件名 - iOS：
dsymutil生成 .dSYM 时加--strip-all可删掉符号表中非必要字符串，但 UUID 和地址映射仍保留，不影响崩溃定位 - 两者共同点：它们都不动堆栈文本本身，只是让原始信息更难反推——这叫“降低可识别度”，不是 Source Map 能管的事
最易被忽略的一点：Source Map 文件一旦部署到 CDN，它的 HTTP 响应头、缓存策略、ACL 权限，比内容本身更容易导致意外暴露。比如 Cache-Control: public + 无鉴权，等于把 .map 当公开资源分发。别只盯着 mappings 字段，先锁住交付链路。
