去年帮一个做外贸的网站朋友看他的独立站，服务器上跑着一套某CMS的系统源码。我扫了一眼目录结构，源码当场就劝他换掉——/include/下面有个common.inc.php，网站打开一看，系统数据库密码明文写在里面，源码连个环境变量都没用。网站更离谱的系统是，后台登录接口的源码验证逻辑居然在前端JS里做了一半。这玩意儿要是网站被人扒了源码，跟把钥匙插在门上没区别。系统
很多人以为“网站系统源码”就是源码一堆HTML加CSS，顶多再塞点JavaScript。网站真拆开看，系统远不止。源码一套能跑的网站源码，至少分三层：表现层、逻辑层、数据层。表现层是用户看到的页面，逻辑层是PHP、Python、Java这些后端语言写的业务处理，数据层就是MySQL、PostgreSQL或者Redis在背后撑着。三层之间靠接口通信，任何一个环节写崩了，整个站就瘫。
我见过最离谱的一套源码，是某开源商城系统。前端用Vue，后端用ThinkPHP，本来架构挺清晰。结果开发者图省事，把商品库存的扣减逻辑直接写在了前端提交的AJAX请求里。用户点“下单”，浏览器先发个请求问“还有货吗”，再发个请求“扣库存”。中间隔了至少几百毫秒。秒杀场景下，这几百毫秒够超卖几百件。后来他们改成后端事务加行锁，才算堵住。
开源和自研是两条路。WordPress、Joomla、Drupal这些，源码开放，插件生态成熟，但漏洞也多。一个没及时更新的插件，就可能被注入恶意脚本。我自己的博客用过WordPress，有次忘了升级某个表单插件，三天内被爬了六千多条垃圾评论。自研系统呢，可控性强，但代码质量全看团队水平。小公司招两个应届生就敢写电商后台，支付回调都不做签名验证，这种案例我一年能碰上好几回。
看源码有个土办法：先找config文件，再看upload目录的权限。配置文件里如果硬编码了密钥，基本可以判定这系统安全意识薄弱。上传目录如果给了执行权限，那就是在邀请别人传个.php文件然后直接访问。我帮人做代码审计的时候，这两条一查，八成能发现问题。
还有一类源码，是买模板送的。某宝上几十块钱一套的企业站源码，解压出来一看，style.css里全是!important，index.php里混着echo "<div>"这种上古写法。数据库表名用拼音，字段名用缩写，zh_name、dh、dz——电话、地址。维护这种代码，跟考古差不多。改一个功能，得先把整个文件通读一遍，生怕碰坏了哪根线。
真正写得好的源码，读起来是有节奏的。函数名一看就懂，注释不多但都在关键处，目录结构按功能分而不是按文件类型分。app/下面是user/、order/、payment/，每个模块自带控制器、模型、视图。改支付逻辑，直接进payment/，不用满世界找pay.php。这种代码，接手的人半小时就能上手改东西。
选源码跟选工具一样。不是功能越多越好，是看它能不能让你在出问题的时候快速定位。一个连日志都不记的系统，出了故障只能靠猜。一个把SQL语句拼在循环里的系统，数据量一上来就卡死。源码的质量，决定了你后面要填多少坑。那些看着“功能齐全、开箱即用”的，往往用不了多久就得推倒重来。