常见JS打包工具安全分析

# 哈希模式bundle-[hash].jschunk-[hash].js[hash:8].js# 特殊模式dynamic-import-*.js# 实际生产环境示例bundle-a1b2c3d4.jsmain.5e6f7g8h.min.jsapp-9i8j7k6l.js

import requestsfrom bs4 import BeautifulSoupimport redef extract_vite_js(base_url):    response = requests.get(base_url)    soup = BeautifulSoup(response.text, 'html.parser')    # 1. 提取主入口 JS（含 Vite 热更新逻辑）    main_js = [script['src'] for script in soup.find_all('script', src=True)                if 'vite' in script.get('src', '')]    # 2. 捕获动态导入的 Chunk（如 /_vite/deps/*.js）    chunk_pattern = re.compile(r'import("([^"]+.js)")')    chunks = set(chunk_pattern.findall(response.text))    # 3. 下载所有文件    for js in main_js + list(chunks):        js_url = urljoin(base_url, js)        content = requests.get(js_url).text        with open(js.split('/')[-1], 'w') as f:            f.write(content)

import reimport argparsefrom pathlib import Pathdef analyze_js(file_path):    """分析JS文件中的敏感信息"""    results = {"urls": [], "keys": [], "credentials": []}    try:        with open(file_path, 'r', encoding='utf-8', errors='ignore') as f:            content = f.read()        # 提取URL        results["urls"] = re.findall(r'https?://[^s"']+', content)        results["urls"] += re.findall(r'['"`](/[^s"']+?)['"`]', content)        # 提取密钥        results["keys"] = re.findall(            r'(?:api[_-]?key|secret[_-]?key|access[_-]?key)s*[=:]s*['"`]([^'"`]{10,})['"`]',             content, re.IGNORECASE        )        # 提取账号密码        creds = re.findall(            r'b(?:user|login|account|auth)s*[=:]s*['"`]([^'"`]+)['"`].*?'            r'b(?:pass|pwd|credential)s*[=:]s*['"`]([^'"`]{6,})['"`]',             content, re.IGNORECASE | re.DOTALL        )        results["credentials"] = [f"user={u}, pass={p}" for u, p in creds]        # 其他敏感信息        results["emails"] = re.findall(r'b[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+.[A-Z|a-z]{2,}b', content)        return results    except Exception as e:        return {"error": str(e)}def main():    parser = argparse.ArgumentParser(description='JS敏感信息分析工具')    parser.add_argument('path', help='JS文件或目录路径')    args = parser.parse_args()    path = Path(args.path)    if path.is_file():        results = {str(path): analyze_js(path)}    elif path.is_dir():        results = {}        for js_file in path.glob('**/*.js'):            results[str(js_file)] = analyze_js(js_file)    else:        print(f"无效路径: {path}")        return    # 打印结果    for file, data in results.items():        print(f"n 文件: {file}")        for category, items in data.items():            if items:                print(f"n {category.upper()}:")                for item in items:                    print(f"  - {item}")if __name__ == "__main__":    main()