用途定位 这是一份面向 B2B SaaS 厂商（ISV）的 Salesforce AppExchange 上架操作手册，围绕“伙伴准入—上架类型与打包—安全审查—维护”这一主线展开，帮助团队在真正创建上架条目之前识别和避免代价高昂、无法撤销的决定。AppExchange 新页面也称为 AgentExchange，涉及经过审核的合作伙伴、打包或 API 集成、安全门禁与收入分成。
不可撤销的承诺 资料重点列出几类创建时即固定的选择：上架类型（打包方案、API、顾问）在创建时确定，之后从 API 改为打包方案需重新上架；命名空间在创建 2GP 包时即固定，并作为每个组件 API 名称的前缀（如 acme__Invoice__c）；升级到 managed-released 后不可逆转，每个小版本只能提升一个 beta 版本；beta 安装仅在 scratch org 和 sandbox 中运行，且不会升级，试点客户需要带安装密钥的正式发布版本。global Apex 类和 global Visualforce 组件不可移除，其他已发布组件通常只能弃用，且需 Partner Support 工单启用移除；仅内部使用的自定义设置、元数据类型、标签和权限应标记为 protected，因为一旦以未保护状态发布便无法收回。Connected App 或 External Client App（ECA）上的 OAuth 控制一旦启用便不能关闭，资料提示在开启前先阅读安全审查准备参考文档。
常见误区 资料逐条驳斥了几种典型想法：以后再选更好的命名空间（会重命名客户和集成依赖的每个 API 名称）、把所有服务都设为 global 供 SI 和插件调用（global 是永久的，应通过 @namespaceAccessible 在同一命名空间内共享代码，对订阅者只暴露小型、带版本的 global 门面）、把 beta 给试点客户再升级（beta 永远进不了生产且无法升级）、只调用 Salesforce API 所以无需审查（API 方案同样要过审查，Web 应用和 API 会做 DAST 测试）、把修复和新功能放在一次重新提交里（任何超出标记问题的改动都会触发完整的初始审查并产生新费用）。
访谈与决策 手册建议一次只问一个问题，并给出需要澄清的维度：哪些内容必须运行在客户 org 内（无、对象与 UI、自动化、Agentforce 动作）、买家使用哪些版本（Professional 和 Group 只能通过带 API 令牌的受审托管包访问 API）、当前阶段（非伙伴、已注册、构建中、审查中、被退回或失败、已上架）、定价方式（免费、freemium、按席位、按 org、按用量、多年企业协议）及公司国家和客户国家、哪些端点负责用户认证或传输 Salesforce 数据、现有 Connected App 及其在多少客户生产 org 中、首次付费安装的目标日期、工程周数和内部安全技能。资料要求根据回答重新排列菜单选项，并说明哪个回答改变了哪个选项；若目标日期无法满足，则从今天起顺延给出实际日期，并说明原日期适合什么。
按阶段路由 非伙伴阶段：先决策，再在 Partner Community 申请；接受后获得带 LMA、COA 和 Dev Hub 的 Partner Business Org（PBO）；构建期间与客户经理谈 PADA，上架审批和签署的 PADA 都先于发布。构建阶段：先打包，从第一个 sprint 起做安全审查。审查中、被退回或失败：按安全审查第 4—7 步处理。已上架：进入维护，上架文案、排名和评论交由 integration-listing-optimization 处理。是否值得做 Salesforce 则参考 integration-partnership-strategy。
打包与收费路径 资料给出四条路径：API 列表（Salesforce Platform API）适合仅通过 OAuth 同步、org 内无内容的 SaaS，需对应用和 API 做 DAST 审查，无需 Code Analyzer 或 Checkmarx，在 Salesforce 外计费，付费应用通过 Channel Order App（COA）上报订单；托管 2GP + Checkout 适合按席位或按 org、一次性或按月/年订阅，要求公司位于美国、英国或欧盟，非 OEM，采用点击式 PADA，费用为净收入的 15% 加每笔卡支付 0.30 美元；托管 2GP + GTM 应用私有报价适合面向美国新客户的按席位交易，要求是现有 ISVforce 伙伴、以美元结算、按申请签署含 GTM 条款的 PADA，12 个月订单、NET30 ACH 预付、不自动续订；托管 2GP + COA（线下 PADA）适合用量、分层、多年或协商交易、Freemium、Paid Add-On Required，每笔销售须在一个工作日内通过 COA 下单，PNR 在 PADA 中设定，常见为 ISVforce 15%、OEM 25%。仅携带 ECA 的薄托管包也算托管包，可使用 Checkout 和 LMA 许可，并适用 Code Analyzer 和 Checkmarx。免费方案不收审查费和分成；付费方案每次初始、跟进或定期审查收 999 美元（向导显示当前费用），资料称 2,550 或 2,700 美元的页面已过时。免费与付费、Checkout 与非 Checkout、定价单位之间切换都会把上架送回审批。1GP、unlocked 和 unmanaged 包永远不是选项，审查只接受 managed-released 版本。
打包与安全审查 打包方面：在 PBO 中启用 Dev Hub，在 Developer Edition org 中注册命名空间并关联；互相调用的包放在同一命名空间，可能单独出售或拆分的产品给独立命名空间；Apex 覆盖率保持 75% 以上且每个触发器都被覆盖，使用 --skip-validation 或无 --code-coverage 构建的版本不能提升；必须认证 Lightning Ready，这是每次新提交的强制要求；主版本和小版本都要提交审查，补丁需在通过后由 Partner Support 工单启用，仅用于热修复，不能增删组件。安全审查方面：验证 1—2 周，首次测试 3—4 周，每次复测 2—4 周并另收费用；从业者估计约一半首次提交失败，从注册到首次付费安装需 4—9 个月。准备优先级按每个工程日的首过概率排序：带 CRUD/FLS 修复的 Code Analyzer > 共享与 SOQL 注入排查 > 对每个范围内端点做 DAST > 误报说明 > 测试 org、凭证和文档 > office-hours 时段；最后两项只花几小时，而失效的测试 org 会卡住验证。应从第一个 sprint 开始扫描，而非提交前一周；每个查询和 DML 都要强制 CRUD/FLS（WITH USER_MODE、AccessLevel.USER_MODE），每个类都要有共享设置，SOQL 使用绑定变量；任何认证用户或收发 Salesforce 数据的端点都会被测试；扫描第三方端点前须获得书面许可。材料经 Partner Console 向导提交并付费。被退回（材料缺失）可修正后同一审查重交、不收费，有异议可通过 Request a Second Look 提出；失败时每个发现是一类问题的一个示例，需在整个方案中修复所有实例，不改动其他内容，保留包 ID 和命名空间（API 方案则创建新的 API 方案），重新扫描并启动跟进审查、付费；若全部为误报，附说明重交失败审查、不收费；失败测试没有申诉渠道，Product Security office hours 是沟通渠道。
维护 每个新版本应基于最后通过的版本（最高的 managed-released 版本）作为祖先构建，可无需新审查直接上架；在祖先通过前切出的版本不可以，而在复审期间切出的版本在上架后若复审失败会被撤下。推送升级顺序：自有测试 org、客户 sandbox 一周、再分批生产（首次 1,000 个中 50—100 个），避开高峰期，绝不在客户季度末进行，在 Salesforce 大版本发布后 3—4 周推送；绝不能把新功能的权限集自动分配给现有用户。每个 Salesforce 年度三次发布都要在预览 sandbox 中测试，并把 API 调用迁出任何宣布退役的版本。预期会有按风险和时间安排的定期复审并产生费用，未通过约给 60 天；保持 Company Info 中安全联系人最新，错过复审会使所有版本过期。未支付收入分成或审查费也会使审查过期并下架；按 PADA 提交 COA 取消，通常在续订前 30 天以上（COA 在 5 天内会阻止取消）。在客户成功里程碑时请求评价，绝不以激励换取。
输出与限制 输出按路由组织：单个问题给出直接回答及涉及的条目行；“非伙伴”和“构建中”给出全部内容，包括假设（每个缺失访谈回答一行）、上架与支付路径及依据的访谈回答、不可逆选择登记表（上架类型、命名空间、global API、受保护组件、定价路径、OAuth 控件，各含负责人和决策日期）、安全审查计划（范围内端点、扫描器、前三大风险类别、提交周）、时间线（从目标日期倒推，不可行时正推，含一次失败审查）、维护日历（发布、复审、OAuth 控件、COA 义务）。每条 Salesforce 数字（费用、分成、时长、日期）都标明†并附脚注，引用前须对照当前 Salesforce 伙伴文档核实。参考资料列出 integration-listing-optimization、oauth2-provider-design、api-versioning-policy、app-marketplace-monetization-model 等相关主题。