生产环境Angular应用Source面板暴露项目结构是否存在安全风险

核心结论 #

生产环境在开发者工具Source面板暴露完整原始项目结构、TS源码属于明确的安全隐患，企业级应用必须完成整改，禁止该情况出现在生产部署版本中。

具体风险说明 #

• 大幅降低攻击成本：攻击者无需逆向压缩混淆后的生产JS代码，可直接读取原始业务逻辑、接口路径、前端权限校验规则、代码注释里硬编码的敏感配置、内部业务流程漏洞，甚至直接找到注释里留存的测试账号、内部服务地址、未授权接口路径，攻击效率会提升数倍
• 泄露技术栈指纹：暴露的源码可以直接让攻击者拿到你所有前端依赖的精确版本、自定义工具逻辑、内部服务封装规则，攻击者可以直接匹配对应版本的公开CVE漏洞发起定向攻击，省去了指纹识别、代码逆向的步骤
• 核心资产泄露：企业级应用的前端业务逻辑、实现方案属于内部知识产权，完整源码暴露可能造成核心业务规则外泄

问题成因 #

你看到的Source面板完整目录结构，是ng serve开发服务的默认行为：这个命令是Angular CLI专门为本地开发设计的，默认开启完整SourceMap生成、不做代码压缩混淆、支持热更新，本身没有做任何生产环境安全适配，设计目标就是仅在本地开发环境使用，根本不适合作为生产服务启动命令。

整改方案 #

• 禁止直接用ng serve启动生产环境服务，生产环境必须使用ng build --configuration=production命令生成标准化构建产物，再通过Nginx、静态文件服务等方式部署
• 检查angular.json配置：确认production构建配置下的sourceMap字段值为false，Angular默认生产配置会关闭该选项，如果之前被手动修改过必须改回，从构建层面避免生成SourceMap映射文件
• 部署前校验：构建完成后检查dist输出目录，确认不存在后缀为.map的SourceMap文件；部署上线后手动打开浏览器开发者工具校验，确认Source面板下仅能看到压缩混淆后的JS资源，看不到src原始目录、TS源码文件
• 不要手动关闭生产构建默认开启的代码压缩、混淆、摇树优化项，这些配置本身就具备基础的源码防护能力

补充说明：如果已经在生产环境误暴露了源码结构，第一时间替换为正确的生产构建产物、删除服务器上留存的.map文件即可，同时需要排查源码中是否存在硬编码的密钥、账号、敏感地址，如果有这类内容要第一时间完成凭证轮换。

内容的提问来源于stack exchange，提问作者Deepak Singh