最快速排查方式是检查线上js文件末尾是否有sourcemappingurl注释，并确认对应.map文件能否被公开访问；风险本质在于“能否被外部拿到”，而非是否生成。
直接检查线上 JS 文件末尾是否包含 sourceMappingURL 注释，再确认对应 .map 文件能否被公开访问——这是最快速、最本质的排查方式。风险不在“有没有生成”，而在于“能不能被外部拿到”。
一、快速验证线上是否存在可访问的 SourceMap
打开浏览器开发者工具 → Network 标签页 → 刷新页面 → 筛选 JS 资源 → 找到主 bundle（如 app.xxx.js 或 main.js）→ 查看响应头和响应体：
- 检查响应体末尾是否有类似
//# sourceMappingURL=main.js.map的注释 - 复制该 .map 文件路径（如
/static/js/main.js.map），在新标签页中直接访问 - 如果返回 200 并看到 JSON 内容（含
sources、names字段），说明已泄露 - 也可用命令行快速探测：
curl -I https://yoursite.com/static/js/app.js.map，看 HTTP 状态码是否为 200
二、定位 SourceMap 的生成源头
不同构建工具生成逻辑不同，需逐个排查配置项：
-
Webpack：检查
webpack.config.js中devtool字段值，常见危险配置包括'source-map'、'inline-source-map'、'eval-source-map' -
Vue CLI：查看
vue.config.js或config/index.js中productionSourceMap: true是否开启 -
Vite：检查
vite.config.ts中build.sourcemap是否为true（默认生产环境为false，但自定义配置可能覆盖） -
Next.js：确认
next.config.js未设置productionBrowserSourceMaps: true
三、检查构建产物中是否残留 .map 文件
部署前务必核对 dist / build 输出目录结构：
- 进入打包后目录（如
dist/），执行find . -name "*.map" -type f（Linux/macOS）或dir /s *.map（Windows） - 若发现
.js.map或.css.map文件，且它们与 JS/CSS 文件同级存放，即存在泄露风险 - 注意：即使
devtool设为false，某些插件（如SourceMapDevToolPlugin）仍可能手动注入 .map 文件
四、修复与加固建议
不依赖“删文件”的临时操作，从构建源头切断泄露路径：
- Webpack 生产环境设
devtool: 'nosources-source-map'（保留错误堆栈行号，但不暴露源码内容）或直接设为false - Vue CLI 项目确保
vue.config.js中productionSourceMap: false - Nginx/Apache 配置中添加规则，禁止外部访问
*.map文件：location ~* \.map$ { deny all; } - CI/CD 流程中加入检查步骤：打包后扫描 .map 文件数量，非零则阻断发布
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
