采购定制网站时，“全部开源”不是可用依赖交付。应记录包和版本、许可声明及对应文本。元数据可以指向许可文件，却不能证明特定再分发的全部义务。
官方依据及事实范围
npm文档说明SPDX许可表达式及SEE LICENSE IN文件名形式；UNLICENSED或缺失声明不能擅自解释为宽松许可。 原始参考 · 2026年10月18日读取.
已填写的验收例子
以下为原创合成教学情景，不是真实客户、平台实测或业务成果。案例中的规则须由实际负责人批准；窄屏可横向滚动表格。
| 输入与状态 | 明确核对口径 | 预期输出及决定 |
|---|---|---|
| 合成alpha@1.2声明MIT | 该版本含LICENSE文本 | 记录声明及文件hash，义务仍须审核 |
| beta@2.0；SEE LICENSE IN TERMS.txt | 交付缺TERMS.txt | 证据缺口，不能标已清权 |
| gamma@3.0；UNLICENSED | 不是宽松许可授权 | 待负责人或供应商授权依据 |
| delta@4.0未写许可字段 | 其他位置许可未知 | 未知，不等于零义务或自动获准 |
逐步执行的交付程序
- 导出交付源码及构建的直接、间接依赖清单，含版本、完整性、声明及文本位置，不含仓库凭证。
- 按四行例核对该版本真实文件，缺文本、声明冲突及未知项须保留，不能自动评为可用。
- 由许可负责人判断实际交付的声明、源码或分发要求，并随产物版本保存决定。
怎样解释结果
教学记录仅首行同时有声明及文本，即使如此也只是证据可审，并非法律清权结论。有效输出是绑定版本的缺口表，而不是声称所有开源包使用同一许可。
明确的验收终点
相关再分发前须精确追到版本，并有未决项审核决定；事实清单与法律结论分开。
适用范围及未验证项目
仅虚构软件包，不审计冻结网站、不下载包、不提供法律建议；元数据完整不等于合规认证。
下载已填写的双语验收记录 — 包含输入、步骤、预期和边界，是教学记录，不是可运行的生产集成。