vscode本身不直接修复node.js依赖漏洞，真正起作用的是本地npm/yarn工具链及安全扫描插件；“一键修复”需区分依赖版本修复（如cve）与代码写法修复（如sql注入），二者机制完全不同。
VSCode 本身不直接修复 Node.js 依赖漏洞，真正起作用的是你本地安装的 npm 或 yarn 工具链 + 正确配置的安全扫描插件；“一键修复”必须分清是修复依赖版本（如 CVE 漏洞）还是修复代码写法（如 SQL 注入），二者机制完全不同，混用会跳过真实风险。
npm audit --fix 能修什么、不能修什么
npm audit --fix 只能自动升级到语义化版本兼容范围内已知修复漏洞的依赖版本，比如把 lodash@4.17.20 升到 4.17.21；但它不会处理以下情况：
- 需要跨主版本升级（如
^1.2.0 → ^2.0.0），这属于 breaking change，--fix默认跳过 - 被
resolutions或overrides锁死的版本，audit看不到真实安装树 - 漏洞存在于你自己的代码里（如拼接 SQL 字符串），
npm audit根本不分析源码 - 某些高危漏洞（如
axios的 SSRF）官方未在补丁版中修复，仅靠--fix无效
Snyk 插件在 VSCode 里为什么点不了“一键修复”
Snyk 插件默认不提供行内修复按钮——它只输出依赖风险报告到 PROBLEMS 面板，不是代码编辑器级的修复器。想让它“动起来”，必须手动完成三件事：
- 运行
snyk auth或粘贴 token 完成认证（右下角显示 “Authenticated” 才算生效） - 按
Ctrl+Shift+P输入并执行Snyk: Test this project，首次生成报告 - 在
.vscode/settings.json中显式开启"snyk.autoScan": true，否则只响应package.json变更，不监听代码修改
即使配置完成，Snyk 也不会覆盖你代码里的 eval(input) 或 child_process.exec(cmd + userInput) —— 那些得靠 ESLint + @eslint-community/eslint-plugin-security 检出。
真正能“一键修复代码漏洞”的组合：ESLint + 安全插件
如果你写的是 const sql = 'SELECT * FROM users WHERE id = ' + req.query.id; 这类硬编码拼接，npm audit 和 Snyk 都看不见，只有静态分析工具能捕获。实操路径如下：
- 安装 ESLint 插件 +
@eslint-community/eslint-plugin-security - 在项目根目录
.eslintrc.js中启用规则："security/detect-object-injection": "error"、"security/detect-non-literal-fs-filename": "error"等 - 配置保存时自动修复：
"editor.codeActionsOnSave": { "source.fixAll.eslint": true }（注意：不是所有安全规则都支持自动修复，比如 XSS 需要人工加DOMPurify.sanitize()） - 对已标红的漏洞行，右键选 “Quick Fix” → “Fix this security issue”，部分规则（如
no-eval）会直接替换成Function constructor安全写法
别信“自动修复”推荐，先确认实际安装版本
Snyk 或 npm audit 推的 “Upgrade axios to 1.6.8” 很可能不准——因为 npm ls axios 显示的路径可能是 node_modules/xxx/node_modules/axios，而非顶层。务必执行：
npm ls axios --depth=0
如果返回空，说明你项目里根本没直接依赖 axios，所谓“修复”只是镜花水月。更危险的是，有些高危漏洞（如 tar 的 path traversal）需打补丁而非升级，这时得用 patch-package 修改 node_modules/tar/lib/mkdir.js 中的关键函数，而不是盲目点 “Fix automatically”。
