“无法验证安装源”错误主因是vscode 1.77+严格签名验证失败，包括签名不匹配、证书过期、系统时间偏差超±5分钟、.vsix结构损坏（缺signature.sig或manifest.json）或非官方下载导致签名剥离；镜像源仅替换市场地址，不改变本地校验逻辑。
VSCode 报错“无法验证安装源”，基本就是它在下载或校验 .vsix 文件时，发现签名不匹配、证书链异常，或根本没拿到完整包——不是你装错了插件，而是 VSCode 拒绝信任当前来源的完整性。
为什么改 extensions.gallery.serviceUrl 不能绕过签名验证
镜像源（比如 https://vscode.cdn.azure.cn/extensionGallery/extensionGallery/）只替换市场接口地址，不改变 VSCode 对扩展包本身的校验逻辑。VSCode 1.77+ 默认启用严格签名验证，要求每个 .vsix 必须带有效微软签名，且 ZIP 结构未被篡改。哪怕你从镜像源下载，如果该镜像缓存的包签名过期、被中间 CDN 修改过，或者你本地时间偏差 >5 分钟，都会触发“无法验证安装源”错误。
- 镜像源本身不重签，只做透传缓存；若上游微软撤回某版本签名，镜像不会同步失效，但 VSCode 会拒绝加载
- 系统时间不准是隐形高频原因：VSCode 校验签名证书有效期，误差超 ±5 分钟即报错，且不提示具体原因
-
http.proxyStrictSSL: false只影响代理连接阶段，不影响.vsix下载后的本地签名解压校验
code --install-extension 命令失败时怎么查真实原因
命令行静默失败或报“Corrupted ZIP”“Signature verification failed”，往往是因为你没看到实际错误细节。直接执行带调试参数的安装命令才能暴露底层问题：
- 先用
code --install-extension xxx.vsix --verbose查看完整日志，重点找Signature verification failed或Invalid signature block - 用 ZIP 工具打开
.vsix，检查是否存在signature.sig和manifest.json；缺失任一文件 = 签名无效 - 运行
openssl pkcs7 -in signature.sig -print_certs -noout（需 OpenSSL）看证书是否过期或 issuer 不匹配 - 别信浏览器下载的“最新版”：
.vsix链接可能来自非官方页面，签名已被剥离
离线安装前必须做的三件事
手动安装不是简单双击 .vsix 就完事。VSCode 在离线场景下反而更较真签名和路径一致性：
- 确认 VSCode 版本与插件
package.json中engines.vscode兼容，例如你用1.90.2，但插件写的是"^1.89.0"，没问题；写的是"^1.91.0"，就直接拒收 - 下载必须来自插件市场原页面的「Download Extension」按钮，不是 GitHub Release 或第三方打包站——只有官方链接返回的
.vsix带完整签名 - Linux/macOS 下注意文件权限：
.vsix文件不能是只读，否则解压时写入失败，VSCode 会转而报签名错误（实际是 I/O 失败伪装成校验失败）
真正卡住的点往往不在网络配置，而在签名验证这个“黑盒”环节——它不报具体证书链哪一级断了，也不提示时间偏差，只甩一句“无法验证安装源”。动手前先校对系统时间、用 --verbose 看真实日志、认准官方下载入口，比反复换镜像或关安全设置更省时间。
