Source Map 如何帮助线上排障？怎么兼顾定位与源码暴露？
先理解原理和示例，再练习完整口述与追问。
回答要点
映射生成代码到源位置；版本与构建必须匹配；可私有上传监控平台；hidden/nosources 各有边界；敏感信息不能打进客户端。
原理拆解
Source Map 记录压缩、打包、转译后的代码位置与原始源码位置的对应关系，线上异常只有 bundle 的行列号时，可结合准确版本的映射恢复可读堆栈。多级转换都要正确传递映射，监控记录 release、构建 ID、资源 URL 和必要的行列信息，不能拿另一版本的 map 去猜，否则可能定位到错误源码。
公开发布 map 便于浏览器调试，但可能暴露源码、注释和目录结构。生产可以生成完整 map，仅上传到受权限保护的监控平台，并从公开静态目录移除；hidden-source-map 主要是不在产物中附加引用注释，如果 map 文件仍可公开下载，它仍可能被找到。nosources-source-map 不包含完整 sourcesContent，但可能保留文件名等信息，也不等于绝对保密。
前端代码最终要发送给用户，混淆与关闭 Source Map 都不能保证业务秘密不被分析。密钥、私密算法所依赖的安全边界与权限判断不能只放在浏览器。排障上还要配合请求 ID、接口状态、用户操作轨迹和隐私脱敏，Source Map 解决的是“代码位置可读”，不能单独解释所有业务错误。
示例与推演
监控收到 app.abcd.js:1:20854，记录 release 与准确资源 URL，在服务端用对应 map 还原文件和函数。若误用上一版 map，得到的行号可能看似合理但完全错误。私有上传流程应在发布前核对 map 与产物匹配，公开目录不包含需保密的 map。
易错点
hidden 主要隐藏引用注释，不会自动限制 map 文件访问。关闭 Source Map 也不能把前端硬编码密钥变成秘密。
参考回答可直接练习口述
Source Map 记录压缩、打包、转译后的代码位置与原始源码位置的对应关系，线上异常只有 bundle 的行列号时，可结合准确版本的映射恢复可读堆栈。多级转换都要正确传递映射，监控记录 release、构建 ID、资源 URL 和必要的行列信息，不能拿另一版本的 map 去猜，否则可能定位到错误源码。