Publiczne mapy źródeł JavaScript

Mapy źródeł opublikowane obok paczek. Oddają niezminifikowany kod razem z komentarzami.

• Pomoc

Współczesny frontend serwuje zminifikowane paczki, a narzędzie budujące może zapisać obok każdej plik .map. Mapa źródeł łączy każdą linię paczki z oryginalnymi plikami i zwykle zawiera ich pełną treść — z komentarzami, wewnętrznymi ścieżkami i całą resztą. Narzędzia deweloperskie przeglądarki wczytują ją, żeby debugowanie było czytelne, ale ten sam plik może pobrać każdy, kto o niego poprosi.

Samo publikowanie map nie jest podatnością: cały JavaScript i tak trafia do przeglądarki. Ryzyko tkwi w tym, co zdradza kod źródłowy — ukryte ścieżki panelu administracyjnego, flagi funkcji, adresy API, komentarze programistów, czasem klucz, który powinien był zostać na serwerze. Dlatego wiersz jest ostrzeżeniem, a nie błędem.

Jak sprawdza SiteScan

Skaner bierze pierwszy skrypt, który strony ładują z samej witryny, i odpytuje ten sam adres z dopisanym .map. Mapa liczy się jako opublikowana tylko wtedy, gdy odpowiedź 200 zawiera prawdziwą mapę źródeł: JSON z "version": 3 i listą "sources". Wiersz podaje wtedy znaleziony plik.

Jak to naprawić

Wyłącz generowanie map dla produkcji (build.sourcemap: false w Vite, devtool: false w webpacku) albo generuj mapy „ukryte” i wysyłaj je do systemu śledzenia błędów, nie wdrażając ich na serwer. Można też zablokować *.map na serwerze. Powiązane: skrypty zewnętrzne.