# 第三方开源组件声明

**适用产品**：财智检企业财务健康检测平台
**文件版本**：v1.0　**发布日期**：2026-09-14

本产品为**专有商业软件**，其运行依赖下列第三方开源组件。依据各组件许可证的署名要求，特此声明。

> **本文件随产品一并交付，请与 `LICENSE.md`、`THIRD-PARTY-LICENSES/` 目录一同留存。**
> MIT 与 Apache-2.0 许可证均要求"保留版权声明和许可声明"，本文件及随附许可全文即为履行该义务。

---

## 一、运行时组件

下列组件均已**本地化**，随产品置于 `vendor/` 目录，由主程序以相对路径加载。**本产品在运行时不会向任何公网 CDN 发起请求，断网环境下可正常使用。**

| 组件 | 版本 | 许可证 | 版权归属 | 用途 |
|---|---|---|---|---|
| Apache ECharts | 5.4.3 | Apache-2.0 | © Apache Software Foundation | 图表渲染 |
| SheetJS (xlsx) | 0.20.3 | Apache-2.0 | © SheetJS LLC | Excel 导入 / 导出 |
| Dexie.js | 3.2.4 | Apache-2.0 | © David Fahlander | IndexedDB 数据访问封装 |
| FileSaver.js | 2.0.5 | MIT | © 2015-2016 Eli Grey | 文件下载 |

### 文件完整性校验

以下 SHA-256 值为随产品交付的本地副本的实测哈希。被许可方可用于校验交付文件的完整性。

| 文件 | SHA-256 |
|---|---|
| `vendor/echarts.min.js` | `1156429a16a38cb8604dcc6518c19406d4226142d908f8edd2e3531443c54d19` |
| `vendor/xlsx.full.min.js` | `cc015130aa8521e7f088f88898eba949ccdcbfb38df0bd129b44b7273c3a6f41` |
| `vendor/dexie.min.js` | `1c3292c03803242f5d6a25ae42ae4f98124f6b96657d1857f27353eb47aa2ac1` |
| `vendor/FileSaver.min.js` | `c68874cbaa2fd1650b7d770b328680ea765fb3376023cc3608427fde4f0d0481` |

校验命令（macOS / Linux）：

```bash
shasum -a 256 vendor/*.js
```

### 关于 SheetJS 版本

本产品使用 SheetJS 社区版 **0.20.3**。该版本已修复旧版（0.18.x）存在的原型污染漏洞（CVE-2023-30533）。升级后的读写往返行为已通过冒烟测试。**请勿将 `vendor/xlsx.full.min.js` 替换为更低版本。**

---

## 二、随产品分发的字体

| 字体 | 版本 | 许可证 | 覆盖字符 | 中文回退 |
|---|---|---|---|---|
| [IBM Plex Sans](https://github.com/IBM/plex) | v23（拉丁可变字重 100–700） | SIL Open Font License 1.1 | 仅拉丁字符（数字 / 拉丁符号） | PingFang SC / Microsoft YaHei 等系统字体 |

`css/font.woff2` 为 IBM Plex Sans 的正版字体文件，随产品打包在 `css/` 目录，由 `css/app.css` 以 `@font-face` 引用，用于页面数字与拉丁符号的统一样式。

SIL OFL 1.1 允许商业闭源分发与再分发，仅要求保留版权与许可声明、不得将字体文件单独转售。中文字符未内嵌该字体，页面自动回退至系统字体。

---

## 三、许可全文

Apache-2.0 与 MIT 的完整许可文本随产品置于 `THIRD-PARTY-LICENSES/` 目录：

| 文件 | 对应许可证 | 适用组件 |
|---|---|---|
| `THIRD-PARTY-LICENSES/Apache-2.0.txt` | Apache License 2.0 | Apache ECharts / SheetJS / Dexie.js |
| `THIRD-PARTY-LICENSES/MIT.txt` | MIT License | FileSaver.js |

SIL OFL 1.1 全文见 <https://openfontlicense.org/>。

请勿删除或修改上述许可文本文件。

---

## 四、合规结论

1. 上述四个组件**全部允许商业闭源分发**，不存在 GPL / AGPL 等具有传染性的许可证，不要求开源本产品自身的源代码。
2. Apache-2.0 与 MIT 仅要求保留版权声明与许可声明；本文件与 `THIRD-PARTY-LICENSES/` 目录已完整满足该要求。
3. 本产品的**全部财务数据仅存储于用户本机浏览器**，不采集、不上传、不向任何第三方提供；第三方组件亦未被用于任何数据上报用途。
4. 本产品的界面、指标算法、评分模型与数据结构均为许可方自有资产，不属于上述任何开源组件。

---

## 五、联系方式

如对本声明或第三方组件的使用有任何疑问，请联系：

- 技术支持：support@caizhijian.example
- 商务咨询：hello@caizhijian.example