恶意扩展可能导致VSCode响应变慢、弹窗异常或网络请求增多；应通过验证发布者身份、审查权限声明、启用Web Worker沙箱、离线签名验证及监控后台活动来识别和防范风险。
如果您在 Visual Studio Code 中安装扩展时发现行为异常，例如编辑器响应变慢、出现意外弹窗或网络请求增多，则可能是由于安装了恶意扩展。以下是识别和避免此类风险的步骤：
本文运行环境：MacBook Air，macOS Sequoia。
一、检查扩展来源可靠性
官方 Marketplace 是最安全的扩展获取渠道，但部分扩展可能被劫持或伪装成知名项目。验证发布者身份与历史版本记录可显著降低误装风险。
1、在 VSCode 扩展视图中点击目标扩展名称，进入详情页。
2、查看“Publisher”字段，确认其为 经过微软认证的发布者（显示 Verified Publisher 标识）。
3、滚动至“Version History”，检查最近三个版本的发布时间间隔是否异常密集，如 24 小时内连续发布 5 个以上版本，需提高警惕。
二、审查扩展权限声明
VSCode 自 v1.86 起强制要求扩展在 package.json 中声明所需权限，包括文件系统访问、网络请求、终端控制等。未声明却执行敏感操作的行为属于违规迹象。
1、在扩展详情页点击“Contributions”标签页。
2、查找“Activation Events”与“Capabilities”区域，确认其声明的权限与功能描述一致。
3、若扩展声称仅提供代码高亮，却声明了 "workspace:read", "terminal:execute" 等权限，应立即放弃安装。
三、启用扩展运行时隔离
VSCode 提供了基于 Web Worker 的扩展进程沙箱机制，可限制扩展对主进程的直接影响。启用该机制后，即使扩展存在漏洞，也难以直接操控编辑器核心功能。
当用户提及 GitHub URL，或要求分析、审查、探索或理解任意 GitHub 项目、仓库或代码库时，请使用此技能。触发条件包括以下短语：“分析这个项目”、“看看这个仓库”、“analyze this repo”、“what does this project do”，或消息中包含任何 github.com URL。
1、打开 VSCode 设置（Cmd + ,）。
2、搜索关键词 "extensions.experimental.affinity"。
3、将值设为 2，表示启用 Web Worker 模式运行扩展。
四、使用离线签名验证工具
Microsoft 提供的 vsce 工具支持对已下载的 .vsix 包进行签名链校验，可确认扩展包自构建起未被篡改，且签名证书处于有效期内。
1、通过 npm 全局安装 vsce：npm install -g vsce。
2、将扩展文件（如 prettier-1.0.0.vsix）下载至本地目录。
3、执行命令：vsce verify prettier-1.0.0.vsix，观察输出中是否包含 "Signature is valid" 字样。
五、监控扩展后台活动
VSCode 内置任务管理器可实时显示各扩展的 CPU 占用、内存消耗及网络连接状态，异常波动往往早于功能故障显现。
1、按下 Cmd + Shift + P 打开命令面板。
2、输入并选择 "Developer: Open Process Explorer"。
3、在表格中定位 “Extension Host” 进程子项，按 “Network” 列排序，识别出 持续发起外部 HTTPS 请求且目标域名非常规（如非 github.com / npmjs.org） 的扩展名称。
