用途：在获得授权的安全测试中，系统排查 Web 应用源码与构建产物泄露，定位硬编码密钥、内部端点、认证逻辑等高风险信息。
主要能力：检查 .env/.env.production/.env.local 明文凭据；用 .js.map 还原 TypeScript/ES6 源码并检索 API_KEY、SECRET、内部主机名；枚举 swagger.json、openapi.json、api-docs 等接口规范；检测 .git 暴露并重建历史（git-dumper、trufflehog）；解析 asset-manifest.json、_next 构建清单；探测 build-info、actuator/info、phpinfo、server-status、Dockerfile 等遗留文件；解析 .DS_Store 目录结构；分析 webpack chunk 与 Base64 编码值。
使用方式：先做快速路径探测，再按当前构建哈希动态定位 bundle 与其 .map；对每个 JS 检查文件末尾 sourceMappingURL；下载 .map 后按 sourcesContent 还原并用 grep 检索敏感字段。若 .git 可访问，可用 git-dumper "https://$TARGET/.git/" /tmp/dumped-repo/ 重建并扫描历史秘密。
适用场景：资产暴露面盘点、授权渗透测试、部署前安全自查。
限制：所有操作须获明确授权；哈希随部署轮换，旧 URL 返回 404 不代表已修复，须重新解析当前构建；重新部署不能消除 source map 暴露，需 GENERATE_SOURCEMAP=false 或剥离 .map 并清理 CDN 缓存；本文工具与路径仅为资料所列，暂未提供更多功能、收费或平台信息。