webpack - 如何防止 secret 数据包含在 WebPack bundle 中

Question

我担心，由于疏忽，包含数据库密码或 session key 等 secret 的模块可能会包含在 WebPack 或 Browserify bundle 中。

即使我不直接导入这些模块，我也可能会意外地从客户端入口点模块间接导入它们。

有没有办法将此类文件列入黑名单，以便那些捆绑程序拒绝捆绑它们？尽管人们愿意遵循可以避免此类问题的最佳实践，但拥有这样一个安全网会很好。

Answer 1

通过 loaders 导入文件时，您可以通过 include 和 exclude 属性选择将目录列入黑名单或白名单。这些可以是正则表达式或绝对路径。

一个简单的例子

以下内容可防止任何 JavaScript 文件包含在 ./secret 目录中存在的 bundle 中。

 var path = require('path');
        module.exports = {
          // Configuration omitted for brevity
          module :{
            loaders : [
                { 
                  test: /\.js$/, 
                  loader: "script",
                  exclude : path.resolve(__dirname, './secret')  // Exclude secret directory
                },
                { 
                  test: /\.css$/, 
                  loader: "style!css" 
                }
            ]
          }
        };

为所有加载器应用过滤器的复杂示例

如果您想防止意外导入 ./secret 目录中的文件，并且只允许包含 src 的文件，您可以执行以下操作。

var path = require('path');
var blackList = [ path.resolve(__dirname, './secret') ];
var whiteList = [ /src/ ]; // Allow only directories containing "src"

var config = { 
...
/// Webpack configuration
};

// Apply whitelisting and blacklisting for all loaders
config.module.loaders.forEach(function(loader)
{
   loader['exclude'] = [...(loader['exclude'] || []), ...blackList];
   loader['include'] = [...(loader['include'] || []), ...whiteList];
});

module.exports = config;

该示例有点复杂，但它应该可以让您很好地了解如何执行它。简而言之，循环加载器并根据需要附加额外的包含/排除。

奖励:为您的 secret 数据指定类型

如果您的代码库中确实存在 secret 数据，我建议为文件名提供一个类型。例如，如果您的文件名为 sqlconnections.js，我会将其重命名为 sqlconnections.confidential.js。然后，我会将 /\.confidential\.js$/ 的排除正则表达式模式添加到我的加载器中。这创建了一个可以在您的代码库中重用的约定。