根本原因是代理拦截https流量但未将自定义ca证书注入copilot信任链，且防火墙未放行copilot-proxy.githubusercontent.com等关键域名；需安装ca证书到系统根存储、启用vs code的http.systemcertificates、配置http代理及更新防火墙规则。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
GitHub Copilot在企业内网环境下启动后反复提示“Network handshake failed”或“SSL certificate verify failed”，根本原因是代理拦截了HTTPS流量但未将自定义CA证书注入Copilot信任链，同时防火墙未放行关键域名。
确认当前网络路径是否走代理
打开VS Code → 按 Ctrl+Shift+P（Windows/Linux）或 Cmd+Shift+P（macOS）→ 输入 Developer: Toggle Developer Tools → 切换到 Console 标签页 → 启动Copilot → 观察报错中是否出现 ERR_PROXY_CONNECTION_FAILED 或 UNABLE_TO_VERIFY_LEAF_SIGNATURE。
若报错含后者，说明代理已生效但SSL证书未被信任；若为前者，则尚未正确配置代理地址。
安装自定义SSL证书到系统信任库
方法一：Windows系统（管理员权限运行PowerShell）
执行：Import-Certificate -FilePath "C:\path\to\your\ca.crt" -CertStoreLocation Cert:\LocalMachine\Root
这一步必须用 本地计算机 的根证书存储区，不能选当前用户——Copilot后台进程以系统上下文运行，读不到用户级证书。
方法二：macOS系统
双击下载的 ca.crt 文件 → 在钥匙串访问中选择“系统”钥匙串 → 右键该证书 → “显示简介” → 展开“信任” → 将“使用此证书时”设为“始终信任” → 关闭窗口并输入密码确认。
⚠️ 注意：macOS 14+ 系统可能需额外执行 sudo security add-trusted-cert -d -r trustRoot -k /System/Library/Keychains/SystemRootCertificates.keychain ca.crt 才能被底层网络栈识别。
强制Copilot加载系统证书（VS Code专属）
第一步：按 Ctrl+Shift+P → 输入 Preferences: Open User Settings (JSON) → 回车
第二步：在打开的 settings.json 文件末尾的 最外层大括号内 添加以下两行（不要漏掉逗号分隔）：
"http.proxyStrictSSL": false,
"http.systemCertificates": true
第三步：保存文件 → 完全退出VS Code（包括右下角托盘进程）→ 重新启动
火山引擎数字人视频生成技能。用户上传照片并提供对白或配音文案后，系统自动完成形象创建、TTS配音（性别检测与多音色匹配）及视频合成，并将结果返回。触发词：数字人、视频合成、口播视频、数字人视频。
这一步的关键是 http.systemCertificates 必须设为 true，否则Copilot会忽略系统已安装的根证书，只用内置证书列表校验连接。
更新防火墙允许列表
登录企业防火墙管理后台 → 找到出站规则 → 新增以下域名（协议必须为 HTTPS，端口为 443）：
copilot-proxy.githubusercontent.com
api.github.com/copilot_internal/
github.com/login/
collector.github.com
origin-tracker.githubusercontent.com
⚠️ 必须包含 copilot-proxy.githubusercontent.com ——这是Copilot代码建议的实际API入口，其他域名缺失仅影响登录或遥测，唯独它缺失会导致“握手失败”且无明确报错。
验证代理URL格式是否合规
方法一：环境变量方式（推荐）
在系统级环境变量中设置 HTTPS_PROXY（大小写敏感），值为：http://proxy.internal:8080
注意：URL必须以 http:// 开头，不能是 https:// ——Copilot不支持HTTPS代理协议。
方法二：VS Code图形界面设置
文件 → 首选项 → 设置 → 左侧选“应用程序” → “代理” → 在文本框中填入同上格式的地址 → 勾选“Proxy Strict SSL”复选框（即启用证书校验）
若代理需身份验证，格式必须为：http://username:password@proxy.internal:8080，不能把凭据放在单独字段里。
