BUG-0360project-13中已修复deploy

开发调试标记泄漏到生产 HTML —— vite 构建未剥离 inspector 属性

发现：2026-10-01验证：2026-10-27置信度：90%

症状

线上页面源码暴露内部开发工具痕迹（技术栈指纹、调试入口），既是信息泄露也给扫描器递枚举线索。

根因

vite.config 的 locator/inspector 插件没有按环境开关——开发增强默认常开，生产构建没有剥离层。

修复方案

1) vite.config 按 mode 条件加载 dev 增强插件（import.meta.env.DEV 守卫）； 2) 生产产物检查进 CI：构建后 grep HTML/JS 中的 inspector/debug 标记，命中即失败； 3) 排查同类：__DEV__、sourceMappingURL、devtools 全局变量等常见泄漏面。

检测命令

curl -s https://<site>/ | grep -c 'trae-inspector\|dev-locator'

修复命令

vite.config.ts 条件化插件加载后重建

错误签名

生产 HTML 出现 trae-inspector-* 等开发工具属性（react-dev-locator 注入）

技术信息

来源项目

project-13

涉及文件

vite.config.ts

标签

dev-tools-leak, vite, production-hygiene, information-disclosure