离线安装安全类插件失败主因是vsix版本兼容性、依赖二进制未预置及权限/信任链缺失；需人工核对engines.vscode版本、离线下载语言服务器、配置token与工作区信任，命令行安装并强制刷新才可靠。
离线环境里装不上安全类插件，不是因为没网络，而是因为没处理好三件事：VSIX版本兼容性、依赖二进制的离线预置、以及插件启用时的权限/信任链。光拖一个.vsix进去，大概率装上了但不扫描——尤其像ms-python.python、sonarlint.sonarlint-vscode、snyk.snyk-vulnerability-scanner这类需要语言服务器或远程认证的插件。
怎么确认.vsix和当前VSCode版本真正兼容
VSCode 不会主动报错说“版本太低”，它只是静默跳过加载。必须人工核对：
- 运行
code --version，取前两位（如1.90.2→1.90） - 用
unzip -p your-plugin.vsix extension/package.json | grep engines（Linux/macOS）或 7-Zip 打开.vsix查package.json中的"engines": {"vscode": "^1.85.0"} - 你的 VSCode 版本号必须 ≥ 插件声明的最低版本；若不满足，命令行安装会报
Extension 'xxx' is not compatible with Code，但拖放不会提示 - ARM Mac 上不能装 x64 架构的
.vsix（尤其含node-gyp编译模块的插件），得找标有darwin-arm64的版本
安全插件装了但不自动扫描？大概率缺语言服务器或认证
像 sonarlint.sonarlint-vscode 或 ms-python.python 这类插件，安装后只是“壳”，首次打开 .py 或 .js 文件时才会触发下载语言服务器（如 pyright、sonarlint-core）。离线环境必然卡住。
- 解决办法：在有网机器上，用同一版本 VSCode 打开对应类型文件，等状态栏不再显示
Downloading...，再把整个插件目录拷过去 - 路径示例：
Windows：%USERPROFILE%\AppData\Roaming\Code\Extensions\sonarlint.sonarlint-vscode-4.1.0\
Linux/macOS：~/.vscode/extensions/sonarlint.sonarlint-vscode-4.1.0/ -
snyk.snyk-vulnerability-scanner必须先运行snyk auth（离线环境下需提前在有网机生成 token 并配置snyk.token文件），否则右下角一直显示Not authenticated，手动执行Snyk: Test this project也会失败
命令行安装.vsix比拖放更可靠，但路径和参数不能错
图形界面在内网远程桌面（RDP/TeamViewer）或全屏状态下常拦截拖放事件；而 code --install-extension 是唯一可脚本化、可复现的方式。
- 路径必须是绝对路径，且 Windows 推荐用正斜杠：
code --install-extension C:/vsix/sonarlint.sonarlint-vscode-4.1.0.vsix - 路径含空格或中文？加英文双引号：
code --install-extension "C:/my ext/sonarlint.vsix" - 想覆盖旧版直接重装，加
--force：code --install-extension /path/to/sonarlint.vsix --force - 如果提示
command not found: code，先在 VSCode 里按Ctrl+Shift+P运行Shell Command: Install 'code' command in PATH
手动复制到extensions目录的底层操作要点
适用于无 GUI、只读系统或 CI 容器等场景，但极易出错——VSCode 不认 .vsix 文件本身，只认解压后的完整目录结构。
- 先用
unzip -l xxx.vsix看顶层目录名，例如sonarlint.sonarlint-vscode-4.1.0/，这就是扩展 ID + 版本号，必须原样作为子目录名 - 解压后，把整个
sonarlint.sonarlint-vscode-4.1.0/目录复制进用户extensions/路径，不能只复制里面的内容，也不能保留.vsix文件 - 复制完必须彻底退出 VSCode（包括托盘进程），否则缓存不刷新，日志里可能出现
Extension 'sonarlint.sonarlint-vscode' is not installed - 若插件声明了 workspace 权限（如读取
package.json），还需在项目根目录的.vscode/settings.json中显式启用："sonarlint.enabled": true
最易被忽略的是：安全插件的“已安装”状态 ≠ “已激活”。很多插件默认禁用，或仅在受信任工作区中运行。检查左下角齿轮图标 → Extensions → 找到插件 → 看右上角是否显示 Disable (Workspace)；若显示，说明该工作区未授权，点启用或点击 Trust this workspace 才能触发扫描。
