Публичные source maps JavaScript

Карты исходников, опубликованные рядом со сборками. Они отдают неминифицированный код вместе с комментариями.

• Помощь

Современный фронтенд отдаёт минифицированные бандлы, а сборщик может положить рядом с каждым файл .map. Карта исходников связывает каждую строку бандла с исходными файлами и обычно содержит их полный текст — с комментариями, внутренними путями и всем прочим. Инструменты разработчика в браузере загружают её, чтобы отладка была читаемой, но тот же файл доступен любому, кто его запросит.

Сама по себе публикация карт не уязвимость: весь JavaScript и так попадает в браузер. Риск в том, что раскрывает исходный код — скрытые админские маршруты, флаги функций, адреса API, комментарии разработчиков, а иногда и ключ, которому место на сервере. Поэтому строка — предупреждение, а не ошибка.

Как проверяет SiteScan

Сканер берёт первый скрипт, который страницы загружают с самого сайта, и запрашивает тот же адрес с добавленным .map. Карта считается опубликованной, только если ответ 200 содержит настоящую карту исходников: JSON с "version": 3 и списком "sources". Тогда строка называет найденный файл.

Как исправить

Отключите генерацию карт для продакшена (build.sourcemap: false в Vite, devtool: false в webpack) или собирайте «скрытые» карты и загружайте их в систему отслеживания ошибок, не выкладывая на сервер. Можно также запретить *.map на уровне сервера. По теме: сторонние скрипты.