vscode本身不检测node.js依赖漏洞，所有安全告警均来自外部工具；需手动运行npm audit（在含package-lock.json的项目根目录）、配置eslint规则、执行nodejsscan扫描并配合git-secrets拦截敏感信息。
VSCode 本身不检测 Node.js 依赖漏洞，所有安全告警都来自外部工具集成——装插件 ≠ 开扫描，必须手动配规则、触发检查、验证路径。
npm audit 必须在项目根目录手动运行
VSCode 集成终端里敲 npm audit 报错或没结果，大概率是因为当前工作目录不是含 package-lock.json 的项目根。它不认你打开的某个 JS 文件所在路径，只认 node_modules 和锁文件的真实位置。
- 先用系统终端（非 VSCode 内置终端）cd 到项目根，确认
npm audit能输出Critical或High条目 - VSCode 集成终端默认继承 shell 环境，但有时会卡在父目录或 workspace 根；右键文件 → “Open in Integrated Terminal” 可强制切换到该文件所在目录
-
npm audit --audit-level=high可过滤掉中低危，避免信息过载；加--json便于后续脚本解析
ESLint + security 插件要配对生效
光装 @eslint-community/eslint-plugin-security 不够，.eslintrc.cjs 里没启用对应规则，VSCode 就当它不存在——波浪线不会出现，问题也不会标红。
微软正式发布 Visual Studio Code 1.118 版本 。本次更新重点强化了 AI 开发体验与企业管理能力，其中最引人注目的是新增 Copilot CLI 远程控制功能，允许开发者通过手机或网页远程监控和接管 AI 会话 。同时，为了提高 AI 的运行性价比，新版本优化了令牌缓存策略以降低成本 。此外，1.118 版还引入了 Chronicle 本地历史追踪、TypeScript 7.0 支持以及更严格的企业级访问管控 。
- 确保配置中包含
"plugins": ["security"]和具体规则，例如："security/detect-non-literal-fs-filename": "error" - 若项目用 TypeScript，需额外安装
@typescript-eslint/eslint-plugin并在overrides中为**/*.ts启用相同规则 - VSCode 的 ESLint 插件默认只检查打开的文件；想全量扫描，得手动运行
npx eslint . --ext .js,.ts
nodejsscan 扫描前必须确认入口和依赖完整性
nodejsscan 是独立 CLI 工具，不依赖 VSCode 插件，但它扫描结果准不准，取决于你传给它的路径是否包含真实可运行的代码结构——缺失 node_modules 或入口文件指向错误，会导致大量误报或漏报。
- 运行前先
npm install，确保node_modules存在且完整；nodejsscan不会帮你装依赖 - 命令格式为
nodejsscan -i ./src -o ./report.json，其中-i必须是源码根目录（不是dist或build），否则无法解析require()和import路径 - 若项目用 ESM，注意
nodejsscan当前版本对import.meta.url和动态import()支持有限，高亮结果可能不全
敏感文件泄露检测不能只靠 .gitignore
.env、config.json 这类文件被提交到仓库，往往不是因为忘了写 .gitignore，而是 VSCode 自动索引时把它们加载进搜索范围，开发者顺手就 commit 了——必须叠加编辑器级拦截。
- 在
.vscode/settings.json加："files.exclude": {"**/.env*": true, "**/config.*.json": true}，让这些文件不出现在资源管理器里 - 安装
DotENV插件并启用高亮，红色背景+警告图标能形成视觉阻断 - 本地提交前跑一次
git secrets --scan -r，它比git diff更早发现硬编码密钥，且能匹配中证协 2026 规范要求的身份证号、银行卡号正则模式
真正卡住人的不是工具不会装，而是每种检测机制都有自己的生效边界：npm audit 看锁文件，ESLint 看配置文件，nodejsscan 看源码结构，git-secrets 看 Git 暂存区——漏掉任意一环，漏洞就可能从“已发现”变成“已上线”。
