React搭建网站中导入的JSON文件能否被访客提取下载？

当你用json-loader导入JSON文件时，Webpack会把JSON内容直接编译进最终的JavaScript打包文件里，不会单独生成可直接下载的JSON资源，但访客依然有办法获取这些数据：

• 查看打包后的JS文件：即便代码经过压缩混淆，访客可以通过浏览器开发者工具的Sources面板找到打包后的JS bundle。只要没有额外加密处理，他们能通过搜索关键字、格式化代码等方式，定位到JSON转成的JS对象，进而提取完整数据。
• 从运行时内存提取：应用运行时，这些JSON数据会加载到浏览器内存中。你之前用React DevTools没找到，可能是数据嵌套在深层组件的props/state里，或是没有全局挂载。可以试试在Console面板结合React DevTools的组件树逐层排查；如果数据存在全局变量里，直接打印变量名就能获取。

如果这些JSON包含敏感数据，绝对别用这种方式导入：

• 敏感数据必须通过后端接口动态获取，同时加上身份验证和权限校验。
• 单纯代码混淆只能增加提取难度，无法彻底阻止有经验的访客，前端永远不适合存储敏感信息。

内容的提问来源于stack exchange，提问作者holydragon