npm audit 和 vsce verify 均无法替代扩展行为审计：前者仅检测已知依赖漏洞，后者只验证包完整性与签名，二者均无法发现动态恶意行为；extension guard 通过控制流图分析实现离线行为推断，是目前唯一能识别混淆调用、延迟激活及 webview 隐蔽通信的静态扫描器。
VSCode插件市场本身不提供实时恶意代码扫描，所有安全检测都依赖第三方工具或手动验证；官方审核仅覆盖基础合规性，无法发现运行时动态加载的恶意行为。
为什么 npm audit 和 vsce verify 都不能代替扩展行为审计
npm audit 只检查扩展自身 package.json 声明的依赖是否存在已知漏洞，对扩展运行后调用 require("child_process")、拼接字符串执行 eval() 或通过 fetch() 外发密钥等行为完全无感。vsce verify 仅校验签名链和包完整性，哪怕签名合法，包内 JS 文件早已被攻击者注入内存马——它只说“这包没被篡改”，没说“这包干了什么”。
- vsce verify 成功 ≠ 扩展可信，只说明发布者身份可追溯、文件未在传输中损坏
- npm audit 无输出 ≠ 无风险，它不分析扩展的 AST、不监控网络请求、不拦截
process.env读取 - 真实攻击案例中，恶意扩展常把 payload 拆进
node_modules里一个冷门依赖（如lodash-deep-clone），绕过所有静态扫描
Extension Guard 是目前唯一能离线做行为推断的静态扫描器
它不靠关键词匹配，而是解析扩展的全部 JS/TS 文件，构建控制流图（CFG）并模拟敏感 API 的调用路径。比如识别出某段代码虽未直接写 fs.writeFileSync，但通过 const fn = fs["write" + "File"]; fn(...) 动态拼接调用，就会标记为高风险。
- 支持识别 Web Worker 中的隐蔽通信：检测
postMessage是否向非白名单 origin 发送含process.env的对象 - 能发现“延迟激活”模式：扩展在安装时不触发，直到用户打开特定文件类型（如
.env）才加载恶意模块 - 输出不是“有风险/无风险”，而是带证据链的判断，例如：“
extension.js第 42 行调用eval，参数来自vscode.workspace.getConfiguration().get("apiToken")”
如何用 VSCode 内置机制限制扩展的实际破坏力
即使装了恶意扩展，也能大幅压缩它的活动空间。关键不是“别装错”，而是“装了也干不了啥”。VSCode 自 v1.86 起提供的沙箱能力常被忽略，但配置正确后，能阻断 70% 以上的典型攻击链。
- 设置
"extensions.experimental.affinity": 2强制扩展在 Web Worker 中运行，使其无法直接访问fs、child_process等 Node.js 核心模块 - 禁用自动启用：在
settings.json加上"extensions.autoCheckUpdates": false和"extensions.autoUpdate": false，防止静默更新植入新 payload - 限制网络：通过系统防火墙或
Little Snitch（macOS）监控Code Helper进程的外连，异常域名（如cdn-[a-z]{3}.evil.net）直接拦截
WebView 通信是插件最常被攻破的入口，也是最容易加固的一环
大量恶意扩展不靠直接执行命令，而是借 WebView 渲染恶意 HTML 页面，再利用 acquireVsCodeApi() 回传的 postMessage 接口反向控制编辑器。防御核心就一条：绝不信任 WebView 里任何未预加载、未哈希校验的脚本。
- 必须使用
webview.cspSource严格限制内联脚本和外部资源，例如设为"'self' 'sha256-abc123...'" - 所有从 WebView 发来的
message必须校验event.source是否为当前 webview 实例，且event.data.type必须在白名单内（如"runCode"、"submit"） - 禁止将
vscode对象或回调函数序列化后传入 WebView，否则可能被JSON.parse()+toString()提权
真正危险的不是那些一眼可疑的“Crack-Debugger”扩展，而是名字正常、权限声明克制、首版功能干净，却在第三版更新里悄悄把 node-fetch 替换为带数据外泄逻辑的 fork 版本的插件——这种行为，只有 Extension Guard 的 CFG 分析和你本地的网络监控能抓住。其他一切“扫描”都只是安慰剂。
