version lens 不查 cve，仅比对 registry 版本号；snyk 插件默认不自动扫描，需手动触发、配置 token、确保锁文件存在且 node 环境一致，否则漏报漏洞。
Version Lens 和 snyk 是目前最实用的组合：前者专注「版本更新提示」，后者负责「漏洞检测」，两者不重叠、不替代，但必须配合使用才能覆盖完整需求。
为什么不能只靠 Version Lens 查漏洞？
Version Lens 本身不查 CVE，它只比对 registry 上的版本号，告诉你“当前是 v2.1.0，最新是 v2.2.0”。即使 v2.2.0 修复了高危漏洞，它也不会标红或悬停提示——除非你手动开启 versionlens.suggestions.showVulnerabilities（该功能实际依赖 OSV.dev 接口，且仅对部分包生效，不稳定）。
常见错误现象：
- package.json 里
"express": "4.18.2"右侧显示绿色 ✔️（已是 latest），但npm audit明确报出Critical漏洞 - 悬停看
Latest: 4.18.2，却不知道这个版本早在 2025 年就被标记为deprecated，真实推荐版是4.19.2
根本原因：Version Lens 的“最新版”逻辑 = npm registry 的 dist-tags.latest，而安全修复可能只推到 dist-tags.next 或单独发 patch 版本，不走 latest 标签。
为什么 Snyk 插件常“不报错”？
Snyk 插件默认不自动扫描，也不监听 package.json 变更。它只在三种情况下触发检查：
- 你手动执行
Ctrl+Shift+P → Snyk: Test this project - 打开
Problems面板时（仅加载缓存结果） - 设置了
snyk.autoScanOnOpen: true且项目根目录存在package-lock.json或yarn.lock
容易踩的坑：
- 改完
package.json后没点右下角Snyk: Rescan，插件继续显示旧报告 - 项目用 pnpm，但 Snyk CLI 未配置
--package-manager=pnpm，导致解析锁文件失败，漏掉 70% 的 transitive dependency - VS Code 终端里
node -v是 v20.15.0，但插件主机（Extension Host）用的是 VS Code 内置 Node v22.4.0，环境不一致造成依赖树解析偏差
pip-audit 怎么和 VSCode 真正联动？
Python 项目没法靠插件“自动提示漏洞”，pip-audit 必须走终端命令。但你可以把它变成一键可点的任务：
- 在
.vscode/tasks.json中加一个 task，命令为python -m pip_audit -r requirements.txt --severity-threshold=high - 设
"problemMatcher": ["$pip-audit"]（需自定义 matcher，匹配✗开头的行并提取包名、CVE、行号） - 绑定快捷键：
Ctrl+Shift+P → Tasks: Run Task → pip-audit high-only
注意参数差异：
-
pip-audit -r requirements.txt：只检声明的包，不保证已安装 -
pip-audit（无参数）：直接扫site-packages，结果更准，但无法定位到requirements.txt哪一行 -
--ignore CVSS-2024-12345要慎用——忽略后不会出现在报告里，Problems面板也收不到通知
真正起效的关键配置点
三个地方配错，所有插件都白装：
-
editor.codeLens必须为true，否则Version Lens的内联提示完全不显示 -
snyk.token必须填入有效 token（不是登录 GitHub 的 token），否则插件卡在Not authenticated -
python.defaultInterpreterPath和终端实际which python输出必须一致，否则pip-audit扫描的不是你认为的那个环境
最常被忽略的是锁文件：Snyk 和 npm audit 都严重依赖 package-lock.json 或 yarn.lock。删了锁文件再装依赖，漏洞路径就断了，工具只能猜——而猜的结果基本不可信。
