snyk插件在vscode中不自动执行test，因其默认为被动监听模式，仅在手动触发“scan project”、打开问题面板或启用snyk.autoscanonopen（默认false）时才扫描；且依赖cli登录、网络连通性及package.json存在。
VSCode里装Snyk插件后，为什么snyk test不自动跑？
因为插件默认只做“被动监听”，不是每次保存就触发扫描。它只在你手动点击“Scan Project”或打开问题面板时才拉取最新漏洞数据，且依赖本地 CLI 是否已登录、是否能访问 snyk.io 的 API。
实操建议：
Rydberg Agent Node
下载
使用一条命令部署ProbeChain Rydberg测试网代理节点。自动注册为Agent(NodeType=1)，免gas，支持macOS/Linux/Windows。触发词：/r
- 先确保终端里能成功运行
snyk auth并完成 GitHub 登录（插件底层调用的是同一套 CLI 凭据） - 检查 VSCode 设置里是否启用了
snyk.autoScanOnOpen（默认为false），设为true才会在打开工作区时自动扫描 - 插件不会监控
package.json变更——改完依赖后必须手动点右下角的 “Snyk: Rescan” 按钮，否则看不到新引入包的漏洞 - 若项目根目录下没有
package.json或node_modules，插件会静默跳过，不报错也不提示
Node版本不匹配导致snyk test失败怎么办？
Snyk CLI 本身是 Node.js 工具，但扫描目标项目时，会尝试复用项目本地的 Node 版本来解析依赖树。如果项目用的是 nvm 管理多版本，而 VSCode 启动时没加载对应 shell 配置，就可能拿错 Node 版本，导致 snyk test 报错 Cannot find module 'semver' 或卡在 resolving dependencies...。
实操建议：
- 在 VSCode 终端里先运行
which node和node -v，确认和项目.nvmrc或.tool-versions一致 - Mac/Linux 用户：在 VSCode 的
settings.json中加一行"terminal.integrated.env.osx": { "PATH": "/opt/homebrew/bin:/usr/local/bin:${env:PATH}" }，确保能读到 nvm 初始化脚本 - Windows 用户：改用
corepack替代 nvm，它通过package.json#engines自动匹配 Node 版本，Snyk 兼容性更好 - 临时绕过：在项目根目录下执行
npm install --no-save snyk@latest，然后用npx snyk test，避免全局 CLI 和项目 Node 版本冲突
扫描结果里一堆 transitive dependency 漏洞，该修哪个？
90% 的高危漏洞都藏在传递依赖里，比如你只装了 lodash，但真正出问题的是它依赖的 lodash.template 4.5.0 —— 这个版本根本不在你的 package.json 里，没法直接 npm install 升级。
实操建议：
- 优先看
Direct dependency标记的条目：这些是你能控制的入口点，升级它们往往能一并修复下游漏洞（例如把axios从 0.21.x 升到 1.6.0+，可能顺带替换掉有漏洞的follow-redirects） - 对纯
transitive漏洞，别急着resolutions强制覆盖——很多包的resolutions在 pnpm/yarn v4 下失效，反而导致安装失败 - 用
snyk wizard（在终端里运行）比插件 UI 更可靠：它会逐个问你是否升级、是否忽略，并生成可提交的snyk-policy.json - 真正难搞的，是那些已被上游废弃、无维护者的子依赖（如
debug@2.6.9）。这时得靠pnpm overrides或yarn set version berry+resolutions锁死补丁版，而不是指望 Snyk 自动修
CI/CD 里怎么让 Snyk 扫描不阻塞构建？
本地扫描可以忽略中低危漏洞，但 CI 里常被要求“零高危”。如果直接用 snyk test --fail-on=high，一个未及时修复的间接漏洞就会让整条流水线挂掉，尤其在 PR 阶段很影响协作节奏。
实操建议：
- 区分场景：PR 环境用
snyk test --severity-threshold=high --policy-path=.snyk，允许开发者基于已有策略临时豁免；主干分支用--fail-on=high强制拦截 -
.snyk文件必须提交进仓库，否则 CI 里snyk test会按默认策略走，和本地行为不一致 - 避免在 Docker 构建阶段重复扫描：Node.js 镜像里装 Snyk CLI + 执行
snyk test会拖慢构建，建议改在npm ci后、npm run build前单独起一个 job - 注意缓存：Snyk 默认每小时查一次远程漏洞库，CI 里可加
--offline参数跳过网络请求，前提是本地有缓存（需提前运行snyk monitor）
snyk test --json | jq '.vulnerabilities[] | select(.severity=="high")' 看原始字段才能确认。
