生产 sourcemap 怎么在「能映射回源码」和「不外泄源码」之间做取舍？

背景：我在做一个内部中后台（Vue 3 + Vite），线上错误上报后拿到的是压缩后的 TypeError: Cannot read properties of undefined (reading 'x') at a.b (app.3f2a.cjs.js:1:20441)。目前我们 CI 里会把 sourcemap 上传到 Sentry，靠它反查源码行。

现象 / 卡点：最近一次安全评审提了两条硬要求——1) sourcemap 文件不能放在任何可匿名访问的 URL（包括带 token 的对象存储，因为 token 一旦泄露就是全量源码）；2) 上报链路里不能把源码片段（source snippet）落盘到任何非加密存储。这直接导致两个问题：(a) Sentry 的 source map 上传方式（带 DSN 的 PUT）我们被要求废弃，改用「仅内部工单 + 人工映射」，但人工映射一次要 10 分钟以上，故障响应明显变慢；(b) 如果不上 sourcemap，错误堆栈里只有压缩后的列号，rollup-plugin-visualizer 之类的产物名（vendor-abc123.js）也定位不到具体模块。

已尝试的排查：1) 试过把 sourcemap 存到内网私有 OSS + 短时效签名 URL，但评审认为签名 URL 仍可能通过日志外泄，被打回；2) 试过在浏览器端用 ErrorEvent + 自研的「列号 → 模块名」映射表（构建期把 module.id 和 chunk 内偏移写入一个白名单文件），能定位到模块但定位不到行，且对 try/catch 包裹后的堆栈无效；3) 试过把 sourcemap 在 CI 里直接 map.sourcesContent = [] 剥掉源码内容只留映射，Sentry 能映射到行号但拿不到源码上下文，评审认为「行号 + 模块名」是否也算敏感信息，没有结论。

期望得到的答案形态：希望有经验的同学给出一个可复现的落地方案，最好包含——(1) sourcemap 的存储位置与访问控制（内网？KMS 加密？审计日志？）；(2) 上报链路里到底该带哪些字段（col / module / hash 哪个粒度算安全）；(3) 人工映射的 SOP：从一条压缩堆栈到源码行的最短路径，以及大概耗时；(4) 如果走 Sentry / 自研，分别的权限模型怎么配。最好能附一个我们这种「内部中后台 + 无公网访问」场景的参考架构。

（非敏感信息：构建产物 hash 长度 8 位，单文件 200KB 左右，sourcemap 单文件 1.5MB 左右，团队 5 人。）