vscode webview 是隔离沙箱中的独立渲染进程，必须用 vscode-webview:// 协议加载资源，所有静态资源路径需经 webview.aswebviewuri() 转换且限定于 localresourceroots 白名单内；与主进程通信只能通过 postmessage 和 message 事件，并严格校验来源。
VSCode 的 WebView 不是网页嵌入那么简单，它本质是隔离沙箱里的独立渲染进程，直接写 HTML/CSS/JS 会遇到跨域、API 调用失败、样式丢失、资源加载 404 等问题——关键在于必须用 vscode-webview 协议加载资源，并通过 vscode.postMessage() 和 window.addEventListener('message', ...) 双向通信。
WebView 资源路径必须用 webview.asWebviewUri() 转换
本地文件（如 style.css、script.js）不能直接用相对路径或 file://，否则 404。VSCode 强制要求所有资源 URI 经过 webview.asWebviewUri() 处理，它会生成带签名的 vscode-webview:// 地址。
- 错误写法：
<link href="./style.css" rel="stylesheet"> - 正确写法：
<link href="%24%7Bwebview.asWebviewUri(cssPath)%7D" rel="stylesheet">，其中cssPath是vscode.Uri.file(...)得到的绝对路径 - 图片、字体、JSON 数据等静态资源同理，全部要过一遍
asWebviewUri() - 注意：该方法只接受
vscode.Uri对象，传字符串会静默失败
与插件主进程通信必须走 postMessage + message 事件
WebView 里无法直接调用 vscode 模块 API（比如 vscode.window.showInformationMessage），所有交互都得靠消息机制。主进程发消息用 webview.postMessage()，WebView 侧监听 window.addEventListener('message', ...)，且必须校验 event.source === window 和 event.origin === vscode.webview.origin。
- WebView 侧发送请求：
vscode.postMessage({ command: 'saveData', data: 'xxx' }) - 主进程监听：
webview.onDidReceiveMessage(message => { ... }, undefined, disposables)，推荐用disposables自动清理 - 禁止在 WebView 里用
fetch直连插件后端或本地文件——没有 CORS 权限，也绕不开沙箱限制 - 消息体只能是可序列化的 JSON 值（不能传函数、DOM 节点、
undefined）
webview.options 必须显式启用脚本和局部资源加载
默认 WebView 是禁用 JS 的，且不允许加载本地资源。不设 enableScripts: true 和 localResourceRoots，页面就是纯静态 HTML，连 console.log 都不会执行。
-
enableScripts: true是运行 JS 的前提，但开启后必须更严格校验message来源 -
localResourceRoots是白名单目录数组，用于限制asWebviewUri()可转换的路径范围，例如：[vscode.Uri.file(path.join(context.extensionPath, 'media'))] - 如果漏设
localResourceRoots，即使路径对，asWebviewUri()返回的 URI 也会被拦截，资源 404 - 不建议把
context.extensionPath整个加进去，有安全风险；只放实际需要的子目录
最常被忽略的是 localResourceRoots 的路径粒度和 asWebviewUri() 的调用时机——必须在设置好 webview.options 后再调用，且传入的 vscode.Uri 必须落在白名单路径内，差一层目录都会失败。
