最稳下载方式是点击官网插件页右侧“Download Extension”按钮，该链接由微软动态签发、带签名且版本严格一致；手动拼API需publisher、extension_name、version三要素全对；GitHub Release的vsix常滞后或缺签名，须校验SHA256；下载后应立即重命名为“发布者.插件名-版本号”并按平台分类存储。
直接点“Download Extension”按钮最稳，但得确认是官网直链
只要打开的是 https://marketplace.visualstudio.com/items?itemName=xxx 这种官方地址，右侧 Resources 区域里的 Download Extension 按钮，生成的就是带签名的、可直接下载的 VSIX 直链。这个链接不会 404，也不会下错版本——它由微软后端动态签发，和你在插件页看到的当前最新版严格一致。
容易踩的坑：
- 别从第三方镜像站、缓存页或搜索引擎快照点“Download”，那些页面可能缓存了旧 URL，返回 404 或低版本 .vsix
- 别点错位置：有些插件页右侧有 “Repository” 或 “Homepage”，这些跳转到 GitHub，不是下载入口
- 新版市场 UI 改动后，“Download Extension” 按钮有时会藏在右上角 “⋯” 菜单里，不是始终固定显示
手动拼接 Marketplace API 下载 URL 需要三要素全对
如果你需要脚本化批量下载，或者想绕过浏览器 UI，可以用官方 API：https://marketplace.visualstudio.com/_apis/public/gallery/publishers/{publisher}/vsextensions/{extension_name}/{version}/vspackage。但必须三个字段完全匹配，缺一不可：
-
publisher：插件 ID 中.前的部分，比如ms-python.python→ms-python -
extension_name：.后的部分，比如python（注意不是ms-python.python全称） -
version：必须是 Version History 页里明确列出的版本号，比如2024.6.0；填错或用通配符（如latest）会 404
常见错误现象：404 Not Found 或下载下来是 HTML 页面（说明 URL 格式不对，被重定向到网页）。
别信 GitHub Release 页面的 .vsix，除非你校验过 SHA256
很多开源插件（如 esbenp.prettier-vscode）会在 GitHub 发布页放 .vsix 文件，但这些文件往往滞后于 Marketplace，甚至缺失签名。VSCode 安装时会校验签名，离线环境无法回源验证，就会报 INVALID_SIGNATURE。
正确做法：
- 优先走 Marketplace 官方渠道下载
- 如果非要用 GitHub Release，务必比对
package.json中的engines.vscode字段和 Marketplace 页面 Requirements 栏是否一致 - 下载后运行
sha256sum xxx.vsix，与插件仓库文档或发布日志中公布的 SHA256 值比对
下载完立刻重命名加版本号，否则三天后你根本分不清哪个是哪个
VSCode 插件市场不强制要求文件名带版本，但默认下载的 fast-pytest-runner.vsix 这种名字毫无区分度。等你攒了二十个同名文件，再想找出适配 VSCode 1.85 的 python 插件，就得逐个解压看 package.json。
建议操作：
- 下载后立刻重命名为
ms-python.python-2024.6.0.vsix（格式：发布者.插件名-版本号） - 批量下载时用脚本自动提取版本号并重命名，避免人工失误
- 把所有 .vsix 存进按平台分类的子目录，比如
/vsix/win32-x64/、/vsix/darwin-arm64/，因为不同平台的 VSIX 不通用
最常被忽略的一点：ARM Mac 上装 x64 构建的插件，哪怕名字一样、版本一样，也会静默失败——它根本不加载，连错误提示都没有。
