如何防止Sentry Auth Token在React Native应用包中泄露？

核心思路 #

别把Sentry Auth Token放在项目的.env里，而是把它做成Jenkins的构建环境变量，只在构建上传符号映射的时候临时用，这样Token既不会被打包进应用包，也不会出现在运行时环境里。

1. 先在Jenkins里存好Token #

• 打开Jenkins项目的配置页面，添加环境变量：
  • 变量名设为SENTRY_AUTH_TOKEN，值填你的Sentry Token。
  • 选「Secret text」类型更安全，避免Token在Jenkins界面明文显示。

2. 清理项目里的Token配置 #

直接删掉项目.env文件中关于SENTRY_AUTH_TOKEN的行，同时检查代码里有没有硬编码或者从.env读取这个Token的逻辑，一并移除。

3. iOS端上传符号映射的配置 #

如果用@sentry/react-native的自动配置，修改Xcode的Build Phases里的Sentry上传脚本，把原来从.env读Token的逻辑换成直接用环境变量：

export SENTRY_AUTH_TOKEN="$SENTRY_AUTH_TOKEN"
sentry-cli upload-dsym

或者在Jenkins的iOS构建命令里直接注入变量：

SENTRY_AUTH_TOKEN=$SENTRY_AUTH_TOKEN xcodebuild -workspace YourApp.xcworkspace -scheme YourApp -configuration Release archive

4. Android端上传符号映射的配置 #

修改Android app模块的build.gradle文件，让Sentry通过系统环境变量获取Token，而不是读本地文件：

sentry {
    authToken = System.getenv("SENTRY_AUTH_TOKEN")
    // 保留你原来的其他Sentry配置，比如org、project等
}

然后正常执行Jenkins的Android构建命令就行：

./gradlew assembleRelease

Jenkins的环境变量会自动传递给gradle进程，能直接读到。

最后验证下 #

构建完成后，把.ipa或.apk解压，搜一下Token字符串，确认包里没带；运行应用时，通过日志或者调试工具检查，确保运行时拿不到这个Token。

内容的提问来源于stack exchange，提问作者Vijay Ananth