最快速排查方式是检查线上JS文件末尾是否有sourceMappingURL注释，并确认对应.map文件能否被公开访问；风险本质在于“能否被外部拿到”，而非是否生成。

直接检查线上 JS 文件末尾是否包含 sourceMappingURL 注释，再确认对应 .map 文件能否被公开访问——这是最快速、最本质的排查方式。风险不在“有没有生成”，而在于“能不能被外部拿到”。

一、快速验证线上是否存在可访问的 SourceMap

打开浏览器开发者工具 → Network 标签页 → 刷新页面 → 筛选 JS 资源 → 找到主 bundle（如 app.xxx.js 或 main.js）→ 查看响应头和响应体：

• 检查响应体末尾是否有类似 //# sourceMappingURL=main.js.map 的注释
• 复制该 .map 文件路径（如 /static/js/main.js.map），在新标签页中直接访问
• 如果返回 200 并看到 JSON 内容（含 sources、names 字段），说明已泄露
• 也可用命令行快速探测：curl -I https://yoursite.com/static/js/app.js.map，看 HTTP 状态码是否为 200

二、定位 SourceMap 的生成源头

不同构建工具生成逻辑不同，需逐个排查配置项：

Java Maven Common

Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。

下载

• Webpack：检查 webpack.config.js 中 devtool 字段值，常见危险配置包括 'source-map'、'inline-source-map'、'eval-source-map'
• Vue CLI：查看 vue.config.js 或 config/index.js 中 productionSourceMap: true 是否开启
• Vite：检查 vite.config.ts 中 build.sourcemap 是否为 true（默认生产环境为 false，但自定义配置可能覆盖）
• Next.js：确认 next.config.js 未设置 productionBrowserSourceMaps: true

三、检查构建产物中是否残留 .map 文件

部署前务必核对 dist / build 输出目录结构：

立即学习“Java免费学习笔记（深入）”；

• 进入打包后目录（如 dist/），执行 find . -name "*.map" -type f（Linux/macOS）或 dir /s *.map（Windows）
• 若发现 .js.map 或 .css.map 文件，且它们与 JS/CSS 文件同级存放，即存在泄露风险
• 注意：即使 devtool 设为 false，某些插件（如 SourceMapDevToolPlugin）仍可能手动注入 .map 文件

四、修复与加固建议

不依赖“删文件”的临时操作，从构建源头切断泄露路径：

• Webpack 生产环境设 devtool: 'nosources-source-map'（保留错误堆栈行号，但不暴露源码内容）或直接设为 false
• Vue CLI 项目确保 vue.config.js 中 productionSourceMap: false
• Nginx/Apache 配置中添加规则，禁止外部访问 *.map 文件：location ~* \.map$ { deny all; }
• CI/CD 流程中加入检查步骤：打包后扫描 .map 文件数量，非零则阻断发布