生产环境应使用 nosources-source-map 并隐藏 sourceMappingURL 注释，再通过服务端拦截 .map 请求，确保错误可定位但源码不暴露。
生产环境隐藏 SourceMap 源码暴露，核心不是“不生成”，而是“生成但不可达”——既保留错误定位能力，又切断用户访问路径。关键在三步：选对类型、去掉注释、服务端拦截。
用 nosources-source-map 生成无源码的映射文件
这是最推荐的生产配置。它生成完整的 .map 文件，包含原始文件路径和行号映射（sources 字段），但 不嵌入任何源码内容（sourcesContent 为空）。
- 浏览器 DevTools 点击报错位置，只显示
app.ts:42:5，不会展开源码 - Sentry、Bugsnag 等平台仍能精准还原堆栈到原始文件与行号
- 文件体积小，适合随 JS 一起部署到 CDN
Webpack 配置示例：
module.exports = {
devtool: 'nosources-source-map'
};确保 JS 文件末尾不写 sourceMappingURL 注释
即使生成了 .map 文件，只要 JS 中没有 //# sourceMappingURL=xxx.js.map，浏览器就不会自动发起请求。
立即学习“Java免费学习笔记（深入）”；
-
hidden-source-map就是专为此设计：生成 .map，但不写注释 - 避免使用
source-map（默认会写注释）或inline-source-map（把 map 塞进 JS，等于公开源码） - 上线前打开打包后的 JS 文件，手动搜索
sourceMappingURL确认不存在
服务端统一拦截 .map 文件请求
这是兜底防线。无论构建是否出错，都让所有 *.map 请求无法成功返回。
- Nginx 配置：
location ~* \.map$ {
return 404;
}- CDN 可设置规则：对
/*.map路径返回 403 或 404 - 部署后立即验证：在 Chrome Network 标签页刷新页面，确认
main.js.map请求状态码是 404，不是 200
高敏感项目可进一步私有托管 .map 文件
如果团队需要内部调试或 QA 查原始行号，又不想任何 .map 出现在线上资源路径中：
- 构建时用
devtool: 'source-map'生成完整 .map - 通过脚本上传到带权限控制的内部服务（如 MinIO + token 鉴权、S3 + IAM）
- 前端 JS 完全不关联任何 source map，彻底隔离
- 工程师需登录内部平台下载对应版本 .map，再手动拖进 DevTools Sources 面板加载
