System Deploy Check

ソースマップだけを検査する。ほかのセキュリティ項目や品質項目へ範囲を広げない。

判断

生成、配置、公開を分けて確認する。

1. ビルド設定の sourceMap、sourcemap、.map 出力、sourceMappingURL と実際の成果物を確認する。
2. 成果物ごとに、ブラウザ利用者、配布アプリ利用者、外部サービス、サーバー実行環境、運用担当者など、取得できる主体を特定する。
3. ソースリポジトリを閲覧できる主体を信頼境界とし、ソースマップがそれより広い主体へ渡らないか判断する。
4. 元ソース、ファイル名、ディレクトリ構造、埋め込みの sourcesContent が復元・閲覧され得るものとして扱う。

原則は生成しない設定（false または未生成）とする。ただし、次を満たす場合は生成を許容できる。

• Lambdaや非公開サーバー成果物など、取得者がソースリポジトリの閲覧を許可された主体に限定される。
• エラー監視サービスへ非公開でアップロードし、公開成果物から .map と参照を除去する。
• 元ソース位置が必要な障害解析上の利益が、残る露出リスクを上回る。

ブラウザや配布物から未信頼の利用者が取得できる場合は公開不可と判断する。生成が必要でも、公開成果物へ含めず、許可された保管先だけへ配置する。

デプロイ停止条件

次のいずれかならデプロイを進めず、対象、取得可能な主体、越える信頼境界、生成を無効化した場合のデバッグ上の不利益を簡潔に示してユーザーへ指示を求める。

• ソースマップがコード資産の信頼境界を越えて公開される。
• 実際の成果物または配信経路を確認できず、公開範囲を判断できない。
• 公開を避ける変更が、ユーザーの求める障害解析方法を損なう。

安全と判断できる場合は、その根拠を示して通常のデプロイを続行する。検査だけを依頼された場合は、設定変更やデプロイを行わない。