核心源码目录与文件完整性
在接收源码包时，首要任务是验证核心业务代码是否完整且未加密。盲盒商城通常包含用户端（小程序/App/H5）、管理后台、后端API服务。通过目录结构快速判断：前端常见目录如 `pages/`（页面）、`components/`（组件）、`utils/`（工具函数）、`api/`（接口封装）；后端如 `app/Http/Controllers/`、`app/Models/`、`routes/`、`config/`。若采用Node.js，则检查 `routes/`、`controllers/`、`services/`。关键文件如盲盒抽取算法（如 `app/Services/LotteryService.php`）、支付回调处理（如 `app/Http/Controllers/PaymentController.php`）、库存扣减逻辑等必须存在且明文可读。
针对无加密的承诺，应随机打开若干核心PHP/JS/Java文件，确认不存在 `eval` 混淆、`ionCube`、`zend guard` 等加密特征，且变量名、注释保持原始可读性。使用VSCode等编辑器全局搜索 `base64_decode`、`gzinflate`、`eval(` 等混淆常用函数，确保无隐藏后门。同时检查是否包含空文件或占位符，如仅有 `index.html` 的空目录。建议与供应商提供的文件清单逐一比对，尤其注意金额计算、概率配置、用户身份鉴权等关键模块，防止缺失导致功能不全。
数据库脚本与数据字典
无加密源码应附带完整的数据库建表脚本（SQL文件），通常位于 `/database/migrations/`（Laravel）或 `/sql/` 目录下。打开SQL文件，确认表结构定义清晰，包含盲盒商品表（如 `products`）、订单表（如 `orders`）、抽奖记录表（如 `lottery_records`）、用户表（如 `users`）。检查字段注释是否详尽，例如 `probability` 字段应备注概率计算规则，`status` 字段说明状态枚举值含义。
若无数据字典文档，则需要通过SQL注释或ER图理解表关系。确保供应商提供初始数据脚本（如盲盒示例商品、系统配置项），以便安装后能快速看到演示效果。验证外键约束、索引是否合理，例如订单表的 `user_id` 和 `product_id` 应有索引。可以执行 `mysqldump` 导出现有表结构与之对比，确保迁移脚本可重现完整库表。同时检查是否有多余测试数据或调试日志表残留。
API接口定义与鉴权逻辑
盲盒商城通常前后端分离，需确认API接口文档（如Swagger、YApi导出的JSON或Markdown文件）与源码一致。重点检查盲盒抽取接口（如 `/api/lottery/draw`）的请求参数、响应字段，尤其是概率权重字段的传入方式。鉴权机制关乎安全，需验证Token生成与验证逻辑是否完整，例如JWT中间件代码是否在 `middleware/` 目录下，且未使用固定密钥。
在后端源码中搜索 `middleware('auth')` 或类似鉴权声明，确认敏感接口已受保护。查看支付回调接口是否验证签名，例如微信支付回调中的 `WxPayNotify` 处理文件。若提供第三方登录（微信、支付宝），则需检查 `openid` 获取和存储逻辑。可以手动使用Postman等工具导入接口文档进行测试，确保无绕过鉴权的漏洞，比如直接访问后台接口应返回401。
前端源码与资源文件
用户端（小程序/H5/App）的源码必须完整且可编译。小程序源码检查 `app.json`、`app.js` 及所有页面目录，确认无缺失分包。关键文件如盲盒抽取动画组件（`lottery-wheel.js`）、支付模块（`pay.js`）应存在。查看代码是否包含硬编码的API域名或密钥，建议提取为配置文件。使用小程序开发工具打开项目，若能成功预览并运行主要流程，说明前端文件齐全。
对于App混合开发（如Flutter/uni-app），需检查 `pubspec.yaml` 或 `package.json` 依赖声明，确保无私有依赖库缺失。资源文件如图片、字体、音效应一并交付，若供应商仅提供线上链接，需要求本地化存储。H5端注意检查 `index.html` 入口及静态资源路径，可使用浏览器开发者工具查看网络请求，确认无远程动态加载加密代码。同时验证前端中的盲盒概率展示是否与后端一致，防止前端写死而实际调用虚假概率。
环境配置与依赖说明
源码包必须包含环境配置模板（如 `.env.example`），明确指出运行时所需的环境变量，如数据库连接、Redis配置、支付商户号、AppSecret等。检查配置项是否齐全，例如盲盒抽取可能需要 `LOTTERY_COST` 单抽价格，`WINNING_RATE_DEFAULT` 默认概率。后端框架的配置目录（如 `config/`）中的所有文件需完整，尤其是 `app.php`、`database.php`、`queue.php` 等。
同时要求提供详细的部署文档，列出服务器要求（PHP版本、扩展）、依赖安装命令（`composer install`、`npm install`）以及队列、计划任务的启动方式。若使用微服务或多端，应说明各服务启动顺序。可以尝试在空白环境中按文档搭建一次，能成功运行则通过。特别注意SSL证书配置、WebSocket服务配置（如果聊天或实时抽奖用到）是否给出示例。
第三方服务集成与密钥管理
盲盒商城常集成支付（微信/支付宝）、短信、对象存储（OSS）、物流等第三方服务。源码应包含这些服务的SDK或接口封装代码，例如 `app/Libraries/WechatPay/` 目录，且代码未加密。检查支付相关代码是否包含证书/密钥文件路径的配置，实际证书文件（如 `apiclient_cert.pem`）通常由买方自行申请，但代码逻辑要完整。
查看短信服务集成（如阿里云短信）的发送方法是否封装在独立类中，确保更换账号时只需修改配置。对象存储的上传逻辑应支持切换Bucket和Region。特别注意是否有供应商内置的统计或监控SDK，这些可能携带信息回传，需要在源码中注释或移除。可以全局搜索外部请求接口（如 `http://`、`https://`），确保没有未知的域名调用。
安全漏洞自查与合规文件
无加密源码让安全审计成为可能。首先检查是否存在常见漏洞：SQL注入（搜索拼接SQL语句，如 `select * from users where id=`. 未使用参数绑定）、XSS（输出未转义）、CSRF（敏感操作无token验证）。后端框架若自带防护（如ThinkPHP的I函数），需确认使用到位。文件上传功能必须限制类型并重命名，查看代码中是否有相应的安全检查。
盲盒概率逻辑必须透明且可审计，检查是否有随机种子被硬编码或可预测。用户支付金额计算应使用整数（分）避免浮点精度问题。密码加密是否使用 `bcrypt` 等强哈希，数据库连接是否使用SSL。同时检查源码是否包含隐私政策、用户协议模板，这些是上架应用商店的必要文件。如果涉及区块链存证或合规抽奖备案，要求提供相关说明代码段，确保抽奖算法符合《网络交易监督管理办法》等法规。
交付文档清单与验收测试
除了源码，完整的交付物应包含：数据库设计文档、API接口文档、部署运维手册、二次开发指南、测试用例/报告。文档需与实际源码版本对应，避免使用通用模板。二次开发指南应说明代码结构、事件钩子、可扩展点，例如如何添加新的盲盒皮肤或支付方式。
建议进行至少一轮全流程测试：搭建环境、配置参数、完成从用户注册、充值、抽奖、发货到退款的闭环。测试期间记录所有问题，并确认供应商修复后更新源码。检查是否有后台操作日志、数据统计功能正常。最终验收时，将源码备份到自有代码仓库（如GitLab），确保历史版本可追溯。若供应商承诺无加密且允许二次开发，可以在合同中约定后续版本更新时保持源码开源。
如何验证收到的盲盒源码确实无加密？
最直接的方式是使用代码编辑器（如VSCode、PhpStorm）打开核心PHP或JS文件，检查是否可读，有无乱码或eval混淆。全局搜索 `eval(`、`base64_decode(`、`gzinflate(` 等函数，若大量出现则为加密或混淆。此外，可以在本地环境运行项目，若出现“需要XX扩展”或“代码已加密”的提示，则说明未完全解密。建议在交付前与供应商明确约定加密形式，并要求提供源文件而非编译后的文件。
如果交付包中缺少部分文件或文档怎么办？
首先对照合同或需求列表，列举缺失项发正式邮件给供应商限期补齐。特别留意配置文件、SQL脚本、第三方SDK的缺失。若供应商无法提供，可要求部分退款或重新评估项目风险。建议将“交付物清单”作为合同附件，明确列出所有文件、文档、代码注释率等细节，避免扯皮。对于开源框架自身文件（如ThinkPHP源码），如果供应商未修改，可以自行下载，但请确保版本一致。
无加密源码是否意味着可以完全自主修改和商用？
无加密仅代表代码可读、可修改，但不自动意味着拥有完整版权或商业授权。必须检查源码中的许可证声明（如LICENSE文件），确认是否允许商用、二次开发、去除版权标识。有些源码可能保留部分代码的著作权，要求保留署名或限制转售。采购时应明确要求供应商提供软件著作权证书或授权协议，并将允许修改、分发、商用的条款写入合同，以免后续法律风险。