vscode插件更新哈希校验失败主因是签名或内容不一致，源于强签名验证机制；需检查系统时间、官网sha256值及.vsix内signature.sig和manifest.json完整性。
VSCode 插件更新时提示哈希校验不匹配，基本可以确定是本地已安装的插件包文件与 Marketplace 下发的 `.vsix` 文件签名或内容不一致，不是网络中断也不是权限问题，而是 VS Code 在安装前校验阶段主动拒绝了该包。
为什么 code --install-extension 会报 “Corrupted ZIP” 或 “Signature verification failed”
VS Code 1.77+ 默认启用强签名验证，安装 `.vsix` 前会检查 ZIP 内部是否包含有效的 signature.sig 和 manifest.json，并验证证书链和时间有效性。常见触发点包括：
- 从非官网页面下载 `.vsix`（比如某些博客、论坛贴出的“最新版下载链接”），实际跳转到 HTML 页面而非原始 `.vsix`，导致下载的是网页源码而非二进制包
- 浏览器/下载工具自动给 ZIP 添加元数据（如 macOS 的
._隐藏文件），破坏 ZIP 结构完整性 - 系统时间偏差超过 ±5 分钟，证书有效期校验失败，但错误信息里完全不提时间问题
- 杀毒软件或企业代理在传输中重写或缓存了 `.vsix`，导致签名块被截断或篡改
如何用命令行定位真实错误原因
图形界面只显示“校验失败”，但命令行能暴露底层细节。执行带 --verbose 参数的安装命令：
code --install-extension my-ext.vsix --verbose
重点关注输出中的这几类关键词：
-
Signature verification failed→ 签名无效，检查signature.sig是否存在、是否被修改 -
Invalid signature block→ ZIP 内部签名结构损坏，大概率是下载不完整或被中间设备污染 -
Cannot read property 'length' of undefined→ manifest.json 缺失或格式非法 -
Corrupted ZIP: end of central directory record could not be found→ ZIP 文件头尾不完整，典型下载中断
别信日志里没报错就代表成功——只要最终没输出 Extension installed successfully，就是失败。
手动校验 `.vsix` 文件是否完整可信
下载后别急着双击安装。先用 ZIP 工具（如 7-Zip、The Unarchiver）打开 `.vsix`，确认以下三项都存在且可读：
-
extension.vsixmanifest（旧格式）或manifest.json（新格式） -
signature.sig（必须存在，不可为空） - 根目录下有
package.json（否则插件连元信息都没有）
再比对官网提供的 SHA256 值（在 Marketplace 插件页右下角 “Download Extension” 按钮旁有小字标注）：
shasum -a 256 my-ext.vsix
结果不一致？说明文件已被篡改或下载出错，直接删掉重下。
绕过校验仅限可信场景，且必须改 package.json
如果你确认 `.vsix` 来源干净（比如从插件 GitHub Releases 直接下载）、只是版本字段太窄导致被拒，可临时禁用校验：
- 关闭 VS Code
- 解压 `.vsix` 到临时文件夹（注意：不要用系统自带归档工具，它可能丢签名；推荐
unzip my-ext.vsix -d ./ext） - 编辑
./ext/package.json，把"engines": {"vscode": "^1.80.0"}改成更宽泛的值，例如"^1.80.0 || ^1.85.0" - 重新打包：
cd ./ext && zip -r ../my-ext-fixed.vsix .（注意末尾的.） - 用
code --install-extension ../my-ext-fixed.vsix安装
⚠️ 这个操作会破坏原始签名，VS Code 启动时仍可能警告“未签名扩展”。仅用于调试或内网离线环境，切勿用于生产机上的安全敏感插件。
最易被忽略的一点：校验失败往往不是插件的问题，而是你本地环境的时间、下载链路或 ZIP 工具悄悄动了文件。先查系统时间、再看官网哈希、最后打开 `.vsix` 看签名文件是否存在——这三步做完，90% 的“哈希不匹配”就能定位到根因。
