开源意味着代码可以被审计，不等于被审计过，更不等于你手机上跑的就是那份代码。本文把开源这个词拆成代码可读、构建可复现、审计与赏金、更新路径四件事，给出普通用户能实际执行的核验清单。