第三方组件与 SBOM

下载清单

文件	内容
sbom.cdx.json	CycloneDX 1.5 格式的软件物料清单
THIRD_PARTY_COMPONENTS.json	每个依赖的名称、版本、许可证和审查状态
THIRD_PARTY_MODELS.json	随软件分发的每个识别模型文件的 SHA-256、来源、代码与权重许可证
THIRD_PARTY_FONTS.json	软件分发或使用的字体，以及是否随软件分发

**这些文件描述的是什么：**它们于 2026 年 10 月 14 日根据开发版 2.0.0-dev 及其固定版本的依赖生成，不是某个已发行安装包的清单——目前还没有发布任何安装包。它们也早于 2026 年 10 月 20 日改用 pdfr 引擎，因此仍列有 PyMuPDF。正式发行构建会在构建机上生成自己的清单（tools/make_sbom.py --mode release --check），随程序装入 licenses 文件夹，并与该版本一同公开。

清单如何生成

构建脚本 tools/make_sbom.py 盘点实际打包的组件。许可证不在允许列表内的组件会被标为「review」，发行检查随即失败，未经审查的组件无法通过检查。已知许可证不适合闭源发行的组件会被标为「exception」，同样会阻止发行检查，除非执行构建的人明确确认；确认记录会保留在清单中。确认例外和检查通过都不代表法律批准。

桌面软件的主要组件

用途	组件	许可证	状态
PDF 渲染与文字	pdfr（开发方自研的 PDF 引擎，Rust）；其第三方 crate 由 tools/make_engine_sbom.py 盘点	引擎为开发方自有代码。其中还包含第三方部分：Rust crate（许可证以各 crate 的声明为准，包括一份本地修补的 tiny-skia，BSD-3-Clause），以及编译进程序库的数据——Adobe CMap 资源和 Adobe Glyph List（BSD-3-Clause）；ZapfDingbats 数据，其中字形名称映射采用 BSD-3-Clause，AFM 编码和宽度数据按 Adobe 声明可免费使用、复制和分发，须保留版权声明；来自 pdf.js 的 CMYK 色彩配置文件（CC0-1.0）。tools/make_engine_sbom.py 用于盘点这些部分并收集其声明，是否完整尚待发行构建确认：该脚本目前还不会收集本地修补的 tiny-skia 的许可证原文，其发行检查会因此停止	2026 年 10 月 20 日已更换：PyMuPDF（AGPL-3.0 或 Artifex 商业授权）已移出产品，构建会拒绝打包它。尚待第一次真实的 Windows 发行构建及其组件清单确认；在此之前，本页不声称发行包已不含 PyMuPDF
识别	RapidOCR、ONNX Runtime（CPU）、PaddleOCR 模型；通过 tesserocr 使用 Tesseract	Apache-2.0、MIT	已审查
图像处理	OpenCV（headless）、NumPy、Pillow	Apache-2.0、BSD-3-Clause、MIT-CMU	待在构建机确认：OpenCV 的 Windows 包是否带有 FFmpeg 库（LGPL）。识别不需要它，如有则排除
PDF 结构改写	pikepdf（含 qpdf）	MPL-2.0（Apache-2.0）	已审查
拖放	tkinterdnd2 及其原生库 tkdnd	MIT；tkdnd 为 BSD 类许可证	tkdnd 的许可证文本待补入随附声明
运行时	CPython 与 Tcl/Tk，用 PyInstaller 打包	PSF-2.0、TCL；PyInstaller 为 GPL-2.0 加引导程序例外	已审查
安装器	Inno Setup 7.1.0 及其翻译	Inno Setup 许可证（宽松，须保留版权声明）	待联网确认：发布方当前对商业使用的条款

上面的文件只记录那个开发快照的组件和版本；正式发行的版本，以随该版本公开的清单为准。本页只报告这些问题的现状，不宣布其中任何一项已经解决。

字体

Windows 系统字体不随软件分发，软件只使用你电脑上已安装的字体。PDF 引擎 pdfr 不自带任何字体文件。

本网站的浏览器工具

免费浏览器工具使用 PDF.js（Apache-2.0）、pdf-lib（MIT）及其依赖，均由本网站提供。完整声明由本网站提供，路径为 /vendor/THIRD-PARTY-NOTICES.txt。