Claude Code 源码泄漏的元凶.map暴露
蹭个热点，Claude Code 源码泄露了51万行，原因竟然是犯了一个低级错误.map发布到了nmp包导致的。
下面是笔者觉得写的很不错的一篇分析文档，它描述了事故原因和Claude Code的代码分析。
https://mp.weixin.qq.com/s/BP3mjcU-fWLSFN6ezCqbIA
后续内容主要介绍.map是什么，以及能不能被发现泄露。
一、.map是什么
.map 文件通常指 Source Map（源映射），是一种用于将编译、压缩或转换后的代码映射回原始源代码的 JSON 格式文件。它在现代前端开发中几乎是标配，尤其在调试生产环境代码时极为有用。
1.为什么需要 Source Map？
现代前端项目通常会对代码进行：
· 压缩（如 UglifyJS、Terser）
· 转译（如 Babel 将 ES6+ 转为 ES5）
· 打包（如 Webpack、Rollup、Vite）
· 预编译（如 TypeScript、SCSS）
经过这些处理后，浏览器中运行的代码与开发时写的源码差异巨大（变量名被缩短、代码合并成一行、语言特性变化等）。当出现错误时，控制台只会指向难以阅读的压缩代码，难以定位问题。
Source Map 的出现解决了这个问题：它提供了“坐标”信息，让浏览器开发者工具能够还原原始代码的位置，调试时直接展示可读的源文件，错误堆栈也会指向原始文件的行号。
2.Source Map 的工作原理
Source Map 是一个 JSON 文件，通常以 .map 为后缀，内部包含：
· version：版本（目前是 3）
· file：输出文件名称
· sources：原始源文件路径列表
· sourcesContent：可选，原始源文件内容（用于完全还原）
· names：变量名/属性名列表
· mappings：编码后的位置映射字符串（用 VLQ 编码，高效存储位置对应关系）
浏览器通过源文件末尾的注释来关联 .map 文件：
```js
//# sourceMappingURL=app.js.map
```
或通过 HTTP 响应头 SourceMap: <url>。
当开发者工具（DevTools）开启时，浏览器会自动请求并加载对应的 Source Map，然后在 Sources 面板中展示原始源代码，打断点、看调用栈都非常方便。
3.如何生成 .map 文件？
几乎所有构建工具都支持生成 Source Map，只需在配置中开启。
Webpack devtool: 'source-map'（多种模式可选）
Vite build.sourcemap: true
TypeScript tsconfig.json 中 "sourceMap": true
Babel sourceMaps: true
Terser（压缩） sourceMap: true
Sass/SCSS 命令行 --source-map 或构建工具配置
4.如何使用 Source Map 调试？
1). 开发环境：通常默认开启，直接在浏览器中看到原始代码。
2). 生产环境：一般不会将 .map 文件部署到公网（防止源码泄露），但可以：
· 仅内部测试时上传到错误监控平台（如 Sentry），让平台自动解析堆栈。
· 将 .map 文件部署在受保护的路径（如仅内网访问）。
· 使用 hidden-source-map 模式：生成 .map 文件但不添加引用注释，由监控服务手动上传。
安全注意事项
· 不要将 Source Map 直接公开到生产环境，否则任何人都可以还原出你的原始源代码，可能泄露业务逻辑、敏感信息或安全漏洞。
· 如果使用错误监控服务，通常的做法是在构建时生成 Source Map，上传到监控平台，然后删除本地 .map 文件或将其置于私密位置。
二、npm pack --dry-run能检测出来
npm pack --dry-run 是 npm 提供的一个命令，用于模拟打包过程而不实际生成压缩包。它主要用于检查最终发布到 npm 仓库的包中会包含哪些文件，帮助你在正式发布前验证包内容。
npm 是 Node Package Manager（Node.js 包管理器）的缩写，它是 JavaScript 生态系统中最大的软件包管理工具，随 Node.js 一同安装。npm 允许开发者：
· 共享与复用代码：通过 npm 仓库（registry）发布和下载第三方包（模块），目前拥有超过 200 万个开源包。
· 管理项目依赖：通过 package.json 记录项目所需包及其版本，使用 npm install 一键安装。
· 执行脚本：利用 npm run 运行自定义命令（如构建、测试）。
基本用法
```bash
npm pack --dry-run
```
执行后，npm 会：
1. 根据当前目录下的 package.json、
.npmignore、.gitignore 等规则计算出即将被打包的文件列表。
2. 输出这些文件的路径和大小（模拟），并显示最终生成的 tarball 名称。
3. 不会在本地创建 .tgz 文件。
典型输出示例
```
npm notice
npm notice 📦 my-package@1.0.0
npm notice === Tarball Contents ===
npm notice 1.2kB package.json
npm notice 2.1kB index.js
npm notice 456B README.md
npm notice === Tarball Details ===
npm notice name: my-package
npm notice version: 1.0.0
npm notice filename: my-package-1.0.0.tgz
npm notice package size: 3.8 kB
npm notice unpacked size: 3.8 kB
npm notice shasum: abc123...
npm notice integrity: sha512-...
npm notice total files: 3
npm notice
```
使用场景
· 检查包内容：确认哪些文件会被包含（如 dist/、lib/ 是否打包进去），哪些被忽略（如 node_modules/、test/）。
· 验证 .npmignore 或 files 字段：确保忽略规则正确，避免敏感文件（如 .env、config.json）意外发布。
· 预估包大小：查看打包后的体积，优化依赖或文件结构。
· 调试发布问题：当 npm publish 报错或行为异常时，先用 --dry-run 定位问题。
与相关命令的区别
npm pack :
实际生成 tarball 文件（在当前目录下）
npm pack --dry-run:
只模拟，不生成文件
npm publish --dry-run :
模拟发布流程，包括打包、上传，但实际不发布到仓库（依赖网络）
注意事项
· 输出内容依赖当前工作区的文件状态（包括未提交的修改）。
· 若存在 .npmignore，它会覆盖 .gitignore 的规则；若没有 .npmignore，则使用 .gitignore。
· 可通过 package.json 中的 files 字段明确指定要包含的文件列表，优先级最高。
使用 npm pack --dry-run 是确保 npm 包发布内容干净、准确的最佳实践之一。