检查 Vue 源码、构建产物与浏览器可访问文件中的敏感信息，追踪泄露路径，区分可公开配置与需要保护的凭据。
## 任务目标 任务：Vue 浏览器交付物敏感信息检查。基于所提供工程和业务证据完成检查，先读取可访问的工程与证据，可以推进的部分继续完成；仅对查证后仍影响结论的关键缺口提问；不要编造文件、日志、测量结果或已完成的操作。 以核查和评审为主，给出有证据的判断及可复核的修改建议；本次用户另有明确实现要求时，按其授权范围执行。 ## 输入信息（选填） 两项均可留空，也可直接用一句话说明目标并附上已有资料。无需自行整理版本、配置或完整需求表；能读取的内容由执行者补齐。 交付物检查范围：从当前 Vue 工程的生产构建入口和实际输出目录开始，检查源码配置到浏览器文件的传播；未指定线上地址时只做本地与已知授权路径核验。 工程或发布资料：读取构建配置、环境变量定义、现有 dist 等产物、静态发布规则及用户已经提供的可访问资源路径。 ## 信息不完整时 先使用本次对话中已经说明的信息；用户留空、写“暂无／不清楚”或未替换输入标记，都按缺失处理，不当作真实路径、参数或业务值。已能从资料确定的内容不重复询问，不编造文件、日志、接口、业务值或执行结果。在用户已授权的范围内读取相关工程和材料，不为补齐输入擅自扩大操作范围。 ### 优先确认 - 识别构建版本、环境变量替换前缀、HTML 注释、内联配置与 source map 输出方式。 - 追踪候选信息进入 JS、HTML、调试文件和旧制品的链路，并区分客户端标识与服务端秘密。 - 检查已知静态目录、备份文件和缓存策略；仅在授权范围内验证具体可获取路径。 ### 可采用的默认处理 - 默认只读检查并输出脱敏证据，不展示真实凭据或使用凭据尝试登录。 - 没有公开访问证据只报告潜在暴露路径；公开接口地址和客户端 appid 不因名称相似就判定为密钥。 - 没有明确修复要求时只给最小改动及轮换处置建议，不擅自撤销凭据、改发布规则或清理线上缓存。 ### 必须有依据的事项 - 候选字段的实际保密属性或允许公开用途无法由配置和使用方确认，不能直接定性为已泄露秘密。 - 所需外部访问超出已有授权范围时，不继续枚举；只对该部分保留公开性待核验结论。 只有缺口会改变业务结果、权限边界或关键实现，且无法从现有资料确认时，才集中提出最多 3 个关键问题；说明影响，并继续完成不依赖答案的部分。一般命名、排版和可逆实现细节按现有约定决定，不逐项等待确认。 ### 资料仍不足时的交付 - 没有产物时交付源码到构建替换的传播路径和应检查的产物位置，不声称浏览器已可获取。 - 没有工程时给出 HTML、JS、source map、旧版文件的定向核验清单及脱敏问题表格式。 ## 执行要求 检查范围包括 Vue 源码、静态 HTML、JavaScript、source map 和部署配置。HTML 注释中的信息限制按文末规约核对；构建产物、调试文件与公开配置属于扩展检查，需要结合实际构建和访问证据判断。 检查 HTML 注释中是否包含凭据、个人信息、内部地址等敏感内容，并追踪它们是否进入可公开获取的文件。按项目实际版本和发布方式判断暴露范围，不机械沿用旧示例。 1. 确认构建版本、实际输出目录和公开发布的文件范围，把开发源码、服务器私有文件、浏览器可获取文件分开；没有访问证据时只报告潜在暴露路径，不宣称已发生泄露。 2. 在HTML注释、内联配置及前端源码中查找可能敏感的类别，记录文件位置和信息类型，交付报告只给脱敏摘要；公开接口地址或可公开的客户端标识不能仅因名称像密钥就判为秘密。 3. 追踪疑似字段如何从环境变量、配置文件或构建替换进入客户端产物，核对实际构建结果；不要认为环境变量保存在服务器上，就必然不会被打进前端代码。 4. 检查source map、旧版文件、备份后缀和静态目录规则能否使原本未计划交付的内容被获取，仅核验授权范围内已知路径，不进行无边界的互联网枚举。 5. 提出移除敏感输入、转为服务端调用或修正发布范围的最小方案；若证据表明确有凭据暴露，将撤销和轮换列为专门处置事项，不能只删除注释后宣称风险消失。 6. 重新构建并核对新产物、静态服务与缓存中的可获取内容，验证受影响业务仍能正常调用；以同一个匿名样本标记验证链路，不用真实密码验证是否还会出现在输出中。 ## 交付与验收 输出：按候选信息、可信程度、来源到公开面的传播路径、最小修正和验证证据输出。问题表仅保留字段名、脱敏标记、文件位置及影响；明确哪些内容已确认公开可取、哪些尚未实际访问，以及缓存和旧制品的复核范围。 ### 本条完成检查 - 每个候选给出类型、脱敏标记、文件位置、传播链和已证实或待确认的公开范围。 - 对确认暴露的秘密区分代码移除、凭据轮换和缓存旧制品复核，不能仅删注释即宣布消除风险。 - 若实施修正，使用匿名样本复核新产物及业务调用，并如实记录尚未检查的发布面。 按本条要求组织结果，使用简洁中文和一致的编号、术语、缩进及空行；已有项目格式优先。只说明实际完成的内容，将采用的假设、未完成项和缺少的条件写在相关位置，不额外生成无关文档。未执行、无法复现或缺少证据的检查如实标注，不宣称已通过或已有性能收益。 ## 参考资料与适用边界 来源核验日期：2026-09-08。 - 阿里巴巴《f2e-spec：HTML 编码规约的注释信息限制》：https://github.com/alibaba/f2e-spec/blob/beb1ac899ea6dab206331263bbcdcad8f8fe336e/docs/coding/html.md 验证说明：已核对上述公开来源及具体规则或能力；本模板尚未通过模型对比实验或线上业务实测，不能以来源品牌、仓库热度或扫描分数代替验收。 来源许可说明：MPL-2.0（仓库许可）。本条为中文原创整理，来源内容与本模板补充要求已在正文区分。
