VSCode配置Dependency-Analytics插件实现项目依赖安全分析-VSCode-PHP中文网

vscode 没有名为 dependency-analytics 的官方或主流插件，因其并非真实存在的扩展，而是对 vscode-dependencygraph、npm audit、pip-audit 或 snyk 等工具功能的误称或混淆。

vscode配置dependency-analytics插件实现项目依赖安全分析

VSCode 没有叫 Dependency-Analytics 的官方或主流插件——这个名字大概率是混淆了多个工具的组合描述，比如把 vscode-dependencyGraph、npm audit、pip-audit 或第三方扫描服务（如 Snyk、Dependabot）的功能混在一起命名了。直接搜这个插件名，在 VSCode Marketplace 或 npm 上都找不到有效结果。

为什么搜不到 Dependency-Analytics 插件？

这个名字不在 VSCode 官方扩展市场注册，也不是 npm 包名。常见误来源有三个：

把 vscode-dependencyGraph 插件的“依赖分析”功能理解成“安全分析”，加了 Analytics 后缀自行命名
看到某篇旧教程把自定义脚本 + npm audit + ESLint 封装成一个任务，起名 dependency-analytics，被当成了插件
企业内部封装的私有插件，未公开发布，外部无法安装

想做项目依赖安全分析，该装什么、怎么配？

真正能落地的组合是：命令行工具 + VSCode 任务 + 手动触发。插件只负责“展示”和“快捷调用”，不替代扫描逻辑。

VSCode

避免常见的 VSCode 错误——设置冲突、调试器配置和扩展冲突。

下载

npm audit：Node.js 项目必须用它，但得在含 package-lock.json 的根目录运行；VSCode 终端里报错？先 cd 到正确路径再试
pip-audit：Python 项目首选，比 safety 更准；安装必须用 python -m pip install pip-audit，否则可能装进错误环境
vscode-dependencyGraph：可装，但它只画依赖图、不查漏洞；导出的 dependencies.json 不能当安全报告用
别信“一键启用安全扫描”的插件宣传——所有真实漏洞检测都依赖 CLI 工具输出，插件最多帮你点一下按钮

如何让安全检查结果在 VSCode 里可点击、可跳转？

靠自定义 tasks.json + 输出格式解析，不是靠插件自动识别。

在 .vscode/tasks.json 中添加 task，例如为 Node 项目配置：

{
  "label": "npm audit --json",
  "type": "shell",
  "command": "npm audit --json --audit-level=high",
  "problemMatcher": {
    "owner": "npm-audit",
    "fileLocation": ["relative"],
    "pattern": [
      {
        "regexp": "^\s*"path":\s*"([^"\r\n]+)",?$",
        "file": 1
      },
      {
        "regexp": "^\s*"severity":\s*"(high|critical)",?$",
        "severity": 1
      }
    ]
  }
}

这样运行后，Problems 面板会显示高危项，且点击能跳转到 package.json 对应行（前提是输出 JSON 结构被正确匹配）
Python 项目同理：用 pip-audit -r requirements.txt --format=json，但需配合自定义 problemMatcher，原生不支持

最容易被忽略的执行前提

所有依赖安全检查的前提不是“装了插件”，而是“当前环境已安装且版本匹配”。比如：

npm audit 要求项目已执行过 npm install，生成完整 package-lock.json；仅靠 package.json 文件存在是不够的
pip-audit 默认扫描已安装包，若你只改了 requirements.txt 却没 pip install -r requirements.txt，它就看不到新声明的漏洞包
VSCode 的集成终端有时工作目录不对，右键文件 → “Open in Integrated Terminal” 才能确保进入该文件所在子目录——这对多 workspace 项目尤其关键