别人能读懂你网站的源代码吗？

它会获取页面并渲染，以便包含懒加载的 bundle，然后读取页面交付的每个 JavaScript 文件。对你自己的每个文件，它会测量读者能以普通代码形式还原多少，探测是否存在公开的 source map，并查找凭据。第三方 SDK、第三方域名和动态代码注入点会单独列出，不计入分数。

满分 100。代码暴露占 75 分，按你自己的 JavaScript 文件字节数加权，因此一个大的可读 bundle 比小文件扣分更多。凭据占 25 分：私钥、云服务密钥、支付密钥、代码仓库令牌或数据库 URL 扣 25 分，不受限制的可公开密钥扣 10 分。包含完整源码的公开 source map 或公开的 git 仓库会把分数上限压到 10，只含映射的 source map 上限为 50。邮箱、IP 地址、浏览器密钥和第三方代码不影响分数。

原样表示文件按编写时的样子交付：名称、注释和格式都保留。压缩表示名称被缩短、空白被移除，但结构、字符串和属性名都还在，格式化工具就能还原大部分内容。混淆表示字符串和名称被隐藏，控制流被重写。“可读”列显示还剩多少：常见开源混淆器大约为 20% 到 30%，AfterPack 的输出低于 10%。源码已暴露表示公开的 map 能还原原始代码。

本身就能授予访问权限的值：私钥、AWS 及其他云服务密钥、Stripe 私密密钥、GitHub 和 GitLab 令牌、Slack 令牌、数据库连接字符串和 Bearer 令牌。匹配结果会打码显示，并附带 80 个字符的上下文，方便你在文件中找到它们。请轮换扫描器发现的任何密钥：混淆能对爬虫隐藏一个值，但运行这段代码的人仍然能拿到它使用的值。

联系页面上的邮箱地址、公网 IP，或者 Google Maps、Firebase 的浏览器密钥，本来就是公开的。把它们当作泄露列出，曾是旧版扫描器误报的主要来源。现在邮箱、功能开关、内部主机和开发者注释显示在“你的代码向读者透露了什么”中，IP 地址和浏览器密钥放在“凭据”下的折叠区中，两者权重都为零。

从你的域名提供的 SDK 和库，例如分析录制工具或 UI 框架。扫描器通过主机、路径或许可证注释识别它们。任何混淆器都不应改写第三方自动更新的 bundle，而且它的可读性与你的代码无关，所以第三方文件单独列出，不计入分数。

source map 能把交付的文件还原回你写的代码，包括文件名、注释和结构。如果 map 还内嵌了原始源码，读者下载到的就是你编辑器里的项目。扫描器会为你最大的几个文件请求相邻的 .map 文件，不管文件是否还带有 sourceMappingURL 注释。请首先从生产构建中移除 map，或在 CDN 上屏蔽它们。

移除公开的 source map，轮换并移除所有凭据，然后让构建经过 AfterPack。报告会指出你的框架并给出确切的安装命令，框架指南会说明其余步骤。受保护的构建在这个扫描器上能拿到 90 分以上，因为其中几乎没有可读内容，也没有任何东西能映射回源码。

免费。无需注册，每个网络每天可扫描三次，也可以在终端里用 npx afterpack audit 运行同样的扫描。结果可以通过链接分享。同一页面最多每 30 分钟重新扫描一次；在这个时间窗口内重复扫描会返回现有报告，不计入次数。

可以。当最新扫描验证通过时（网站自身代码是 AfterPack 输出、没有公开源码映射或凭据、评级为 A），AfterPack 徽章显示 Protected by AfterPack；否则显示最新分数；还没有扫描为网站评级时显示 not graded。每个结果页都有页脚和 README 代码片段。