做源码站这几年，我拆过的包没有一千也有八百。今天不说虚的，聊点挑PHP 源码的实话。
先说结论：一份源码值不值得用，跟它的功能截图有多花哨，基本没关系。
第一件事：看有没有加密
这是最要命的。很多源码标价很低，下载下来打开一看，核心文件全是乱码，头部一坨 eval() 或者 ionCube、Zend Guard 的标记。
// 看到这种就基本别想改了
eval(gzinflate(base64_decode('...')));
// ionCube 的特征
<?php //004fb ... if(!extension_loaded('ionCube Loader'))加密源码不是不能用，但你要清楚代价：改不了逻辑、加不了功能、出问题只能等作者。如果价格还没便宜到离谱，我建议直接跳过。
第二件事：授权范围
这个比加密更容易被忽略。授权至少要看三点：
- 能不能商用
- 能不能去掉版权标识
- 有没有域名数量限制
很多源码详情页写得含糊，只写「仅供学习研究」。你拿去做商业项目，将来是留隐患的。这种含糊的，直接问卖家，让他书面答复。
第三件事：更新记录
我现在看一份源码，第一个翻的就是更新记录和提交历史。如果最后一次更新在两年前，而且这两年接口环境、PHP 版本、支付规则都变了，那这份源码大概率是要你自己填坑的。
反过来，近半年还在持续更新的，哪怕功能少一点，也往往更省心。
第四件事：代码本身
不用读完，扫一眼就能看出水平：
- 有没有用框架、目录结构是否清晰
- SQL 是拼字符串还是用参数绑定（有没有防注入）
- 配置文件里有没有明文堆着作者的密钥、账号
- 有没有一堆注释掉的调试代码和
var_dump
还有个好用的判断方法：看它的 sql 文件。字段有没有注释、有没有乱七八糟的测试数据，这些细节很能说明作者的用心程度。
第五件事：拿到手第一件事
不是急着装，是先看目录结构，找配置文件。
重点找这几个东西：.env 或 config/database.php、安装说明、伪静态规则、授权验证代码。
尤其最后一条——很多源码内置了远程授权校验，会偷偷请求作者的服务器。装在正式站之前，一定要搜一遍有没有这类代码，不然哪天作者服务器挂了，你的站也跟着挂。
# 全局搜远程校验的常见痕迹
grep -rn "file_get_contents('http" ./
grep -rn "curl_init" ./ --include=*.php最后说两句
源码这东西，便宜的贵在后期的坑，贵的贵在前期的钱。我自己的标准是：核心业务用买断授权的正规源码，非核心的部分随便折腾。
还有一句大实话——别囤。我认识太多人硬盘里存着几百份源码，一份都没跑通过。挑一份跑起来、改成自己的，比存一百份有用。