判断网站开发公司交付的是否为“真源码”，核心在于验证你对代码是否拥有完整的控制权、编译权和迁移权。很多不良服务商交付的其实是“加密文件”、“SaaS子账号”或者“缺失核心库的残缺包”，导致你一旦停止续费，网站就彻底瘫痪。

你可以按照以下五个维度进行实操验证，只要其中任何一环卡住，就说明这不是真正的源码：

检查文件结构与核心文件

真正的源码必须包含前端页面、后端逻辑和数据库结构。拿到压缩包后，先解压看目录结构：

• 看后缀名：
  • 真源码特征： 后端文件通常是 .php、.java、.py、.go 或 .cs 等文本格式。你可以用记事本或 VS Code 打开，能看到可读的代码逻辑（即使有注释混淆，也是文本）。
  • 假源码/加密源码特征： 核心目录下充斥着 .dll、.so、.class 文件，或者 PHP 项目中出现了 ioncube_loader 相关的加密文件。这代表核心逻辑被编译或加密了，你无法修改底层功能，必须依赖原厂的解密环境才能运行。
• 看配置文件：
  • 根目录下必须有数据库配置文件（如 config.php、database.yml、web.config 或 .env）。
  • 验证动作： 尝试修改配置文件里的数据库密码。如果修改后网站报错提示“连接数据库失败”，说明代码确实是在读取这个文件，这是真源码的特征；如果修改后毫无反应，网站依然正常运行，说明你可能只是拿到了一个“壳”，核心逻辑在服务商的服务器上。

本地环境部署测试（最核心的验证）

这是鉴别真假源码的“金标准”。真源码必须能够脱离原公司的服务器，在你的电脑或任意第三方服务器上跑起来。

• 操作步骤：
  1. 在你的电脑上安装集成环境软件（如 phpStudy、XAMPP 或 Docker）。
  2. 将对方给的源码放入网站根目录。
  3. 导入对方提供的 .sql 数据库文件。
  4. 修改配置文件，指向本地数据库。
  5. 访问 localhost。
• 判定标准：
  • 真源码： 网站能正常打开，后台能登录，数据能增删改查。
  • 假源码/SaaS模式： 网站打不开，或者打开后图片裂开、功能报错。更狡猾的情况是：前台能看，但一点“提交表单”或“登录后台”就报错。这通常是因为代码里写了**“域名授权绑定”或“IP白名单”**，代码在运行时会自动向原公司的服务器发起请求验证，一旦发现不在他们的服务器上，就拒绝服务。

检查“域名授权”与“后门”代码

有些公司给的是真源码，但在代码里埋了“定时炸弹”或“授权锁”。

• 搜索关键词： 用代码编辑器（如 VS Code）的全局搜索功能，在源码中搜索以下关键词：
  • curl、file_get_contents、socket：查看是否有代码在偷偷向陌生的外部域名发送请求。
  • base64_decode、eval、gzinflate：这些函数常被用来隐藏加密代码。如果核心文件里全是乱码且包裹在这些函数里，说明代码被混淆加密了，你拿到的不是纯净源码。
  • domain、license、auth：检查是否有硬编码的域名判断逻辑。例如：if ($domain != 'www.official.com') { exit('未授权'); }。
• 验证方法： 要求服务商在交付前移除所有域名限制代码，并在合同中注明：“源码不得包含任何远程验证、域名绑定或逻辑锁，否则视为违约，需全额退款。”

数据库完整性检查

源码只是骨架，数据库才是灵魂。很多公司给源码很爽快，但数据库只给空表结构，不给初始数据或存储过程。

• 检查存储过程与触发器： 打开 .sql 文件，搜索 CREATE PROCEDURE、TRIGGER、FUNCTION。如果网站功能复杂（如电商、会员系统），通常会有存储过程。如果 SQL 文件里只有 CREATE TABLE，说明业务逻辑可能写死在加密的后端代码里了。
• 数据迁移测试： 尝试将数据库导入到一个新的空数据库中，并修改源码配置指向新库。如果网站能正常运行且历史数据（文章、产品、订单）都在，说明数据库交付是完整的。

合同与法律层面的“兜底”

技术验证可能有疏漏，必须在合同条款上封死退路。不要只写“交付源码”，要这样写：

“乙方需向甲方交付网站的完整、未加密、可二次开发的源代码及数据库结构文件。

1. 源码不包含任何域名绑定、IP限制、远程授权验证等逻辑锁。
2. 甲方有权将源码部署至任意第三方服务器，乙方需提供无偿技术支持直至部署成功。
3. 若因源码加密或授权限制导致甲方无法独立运维，乙方需在3日内提供解密版本，否则退还全部款项并赔偿甲方损失。”

常见套路拆解

为了让你更直观地识别，这里列出三种常见的“假源码”套路：

总结建议：
在付尾款之前，务必执行“本地部署测试”。让对方的技术人员远程协助你在自己的电脑上把网站跑起来。只要能在你的环境下独立运行，且没有报错，这才是真正属于你自己的源码。如果对方以“商业机密”、“防止盗版”为由拒绝提供未加密源码或拒绝协助本地部署，请直接终止合作。