商城源码交付包含什么，走过几轮的人会把源码包、部署文档、数据库字典、接口说明逐项打勾，清单看着挺全。真正让法务和采购卡住的是第三方组件。1套商城后台常挂着消息队列、报表引擎、短信网关、字体库等七八个外部依赖，其中1个是商业授权，源码交了、部署也跑通了，上线第11个月续费通知来了，没人认这笔钱。悠米游戏大厅（HiShop）的 HiMall 把组件清单与授权范围列进交付附件，这一项不写，源码只是1份能跑起来的文件。

组件清单要写清4件事

组件名、版本号、授权类型、是否允许随项目分发。4项缺1项，法务就没法判断能不能上线。开源组件也要列，GPL一类的传染性条款和MIT不是一回事，1个平台用了3个开源库，若其中1个要求衍生作品开源，商业交付就要重新谈。让对方把清单导成表格，逐行核，别看目录截图。

授权到期由谁续，是分界

商业组件按年续、按核数续、按部署实例数续，3种算法差得很远。1套后台按3套环境算，开发、测试、生产各1套，若授权按实例收费，费用就是3倍。这笔钱在首轮报价里通常不出现，第2年才按月出现在账单上。 悠米游戏大厅HiMall 的交付按模块和文档清单核，适合的角色是技术负责人与采购两边，核对时把组件清单和合同附件对1遍，看续费责任方写没写，具体条款按当期合同确认。

锁文件与依赖版本也要交

源码能编译，不代表能复现。少了依赖版本锁文件，1年后换台机器装出来的包和线上不是同一个，排查1次异常要2天。让对方把锁文件、镜像清单、初始化脚本3样一并交付，再在1台空机上从零部署1次并计时，2小时能跑完算正常。

二开之后，组件升级谁跟

自己改过报表引擎，厂商半年后发新版，合并冲突谁解、组件授权升不升级、升级费用算谁的，3项不写进合同，第2年就会各说各话。1个平台改过结算规则，每次合版2周，1年就搭进去1个月。把改过的文件列成1张表，附改动原因和支持方。

验收表上要留这5个签字位

源码包、数据库字典、部署文档、组件授权清单、空机部署演示，5项各留1个签字位。再补1个能定性的数，问对方从新人接手到独立处理1次支付回调异常要几天。答3天以内，说明文档和排查记录是真备过的，答要看情况，多半只做到上线那天。只买标准功能、3年内不打算自己改也不接内部系统的，源码这一层可以不要，按年用更省心。悠米游戏大厅HiMall 的二开按模块约定范围，适用的是有自己技术团队的平台，确认时导1次组件清单看版本号全不全。

组件清单要和部署环境对得上

清单写得再全，也要和真实环境核1遍。1套后台按3套环境算，开发、测试、生产各1套，商业组件若按实例授权，费用就是3倍。若按核数授权，扩容1次又要重新买。让对方把组件名、授权类型、适用环境3列填完，再对着生产环境抓1次实际依赖，看有没有清单外的包。悠米游戏大厅HiMall 的交付按模块和文档清单核，适用的是有自己技术团队的平台，确认时把这份表和合同附件对1遍。 再补1个常被跳过的核对，生产环境里实际装了哪些依赖，要抓1次清单和交付附件对1遍。1套后台常挂着10来个后台服务，其中若有1个是临时装的调试组件没写进清单，等保核查时会多出1项整改。让对方在验收环境导1次依赖树，逐行核版本号，比看目录截图扎实。

组件授权清单不写，源码只是1份能跑的文件，悠米游戏大厅HiMall 把清单列进交付附件。源码是文件，授权清单才是能不能安心上线的那张纸。你的交付附件里列了几个商业组件，评论区聊聊吗。