Mapas de fuente y paquetes publicados de más

Al compilar, el código de una aplicación de una sola página se une y se comprime en pocos archivos. Un mapa de fuente es un JSON aparte que relaciona cada posición del archivo comprimido con el archivo y la línea originales; muchas veces incluye además el código original completo, con sus comentarios, en el campo sourcesContent. El navegador lo descarga cuando las herramientas de desarrollo están abiertas y encuentra al final del archivo un comentario sourceMappingURL que apunta al mapa.

Publicarlo no es una vulnerabilidad por sí mismo: el código del cliente ya es público. Lo que cambia es el costo de leerlo, y lo que se cuela en los comentarios: rutas internas, notas de deuda técnica, nombres de módulos que no se usan. Vite acepta build.sourcemap: 'hidden' para generar el mapa sin el comentario que lo anuncia, de modo que se pueda subir a un servicio privado de errores sin publicarlo.

Abre el laboratorio. Lee vite.config.js, listado-publicado.txt y final-de-index.txt para confirmar que el mapa está publicado y anunciado. Luego lee mapa-extracto.json: el campo sources dice qué archivos originales hay, y sourcesContent trae su contenido.

Un paquete de npm incluye lo que dice su package.json. El campo files funciona como lista de permitidos; si falta, se incluye todo salvo un puñado de exclusiones fijas. La forma segura de saber qué saldrá es mirar la lista real: npm pack --dry-run la muestra sin publicar nada. Una vez publicada una versión, cualquiera pudo descargarla.

Lee sdk-package.json, npm-pack-dry-run.txt y pruebas-README.txt.

El .gitignore del SDK excluye los archivos de entorno y la carpeta de datos de prueba, y el equipo daba por hecho que eso también valía para el paquete. npm usa el .gitignore como lista de exclusión solo cuando no hay un .npmignore.

Hay dos hallazgos: el mapa de fuente de la app y el contenido del SDK, que todavía no se ha publicado.