离线环境中VSCode安全扫描需预置插件依赖：Snyk须手动迁移token并设权限，SonarLint需提前下载规则包与分析器，CodeQL等依赖网络的插件基本不可用；所有插件均需信任工作区且确保依赖完整。
离线环境里装不了插件，就别指望 VSCode 自动扫描代码安全——这是两个强依赖关系：插件是能力载体，网络是激活前提。没有插件，VSCode 本身不带任何代码安全扫描逻辑；而多数安全插件（如 Snyk、SonarLint、CodeQL）在离线时要么无法认证，要么缺语言服务器、规则包或 CVE 数据库，根本跑不起来。
为什么 snyk auth 在离线机器上永远卡住
Snyk 插件启动前必须完成身份认证，而 snyk auth 默认打开浏览器跳转到 snyk.io 登录并回传 token。内网机器没外网，这一步直接失败，右下角一直显示 “Not authenticated”，后续所有扫描命令（如 Snyk: Test this project）都静默忽略。
- 离线认证唯一可行路径：在有网机器上运行
snyk auth --interactive=false生成 token，再手动写入内网机器的~/.snyk文件（Linux/macOS）或%USERPROFILE%\.snyk（Windows），注意权限设为 600 - token 有效期默认 30 天，过期后需重新导出，不能靠刷新页面续期
- 免费版 token 绑定邮箱，一个账号多个离线机器共用会触发额度限流（每月 100 次），报错
Rate limit exceeded
sonarlint 离线能用，但规则集严重缩水
SonarLint 本地模式支持离线分析，但它依赖的规则包（sonarjs、sonarpython 等）默认从 SonarCloud 下载。断网后，它只能用 VSCode 插件自带的极简内置规则（比如基础空指针检查），对 OWASP Top 10 类漏洞（如 SSRF、XXE、硬编码密钥）基本无响应。
- 提前在有网机器上打开一次 SonarLint，让它自动下载完整规则包和语言分析器，然后把整个插件目录（如
sonarsource.sonarlint-vscode-4.0.0/）拷到内网~/.vscode/extensions/下 - 规则包体积大（单语言常超 50MB），且不同版本对应不同 VSCode 主版本号，
engines.vscode不匹配会直接禁用插件 - 离线时无法同步团队规则（
sonar-project.properties中引用的远程 quality profile），只能靠本地sonarlint.rules手动配置，漏配一条就可能放过高危问题
用 code --install-extension 安装后仍不生效的三个硬坑
命令行安装成功只代表 .vsix 解压进 extensions 目录，不代表插件能干活。尤其安全类插件普遍依赖外部二进制或网络服务，离线时极易“假安装”。
- Python 项目配 SonarLint 或 Pylint-security：首次打开
.py文件时，插件会尝试下载pylint或sonar-python分析器，断网则卡在状态栏 “Initializing…” 且无报错，得手动去Output面板切到 “SonarLint” 通道才能看到Failed to fetch https://binaries.sonarsource.com - Snyk 扫描
package.json前需先解析node_modules，但离线机器若没装过依赖（npm install未执行），Snyk: Test this project会直接跳过，PROBLEMS 面板空空如也，不像 npm audit 那样明确提示 “no node_modules found” - 插件启用依赖工作区信任（Workspace Trust），离线打开新项目时，默认处于 “Restricted Mode”，所有自动扫描、任务执行、扩展激活全被拦截，必须手动点右下角锁图标选 “Trust Workspace”
真正能离线跑通的安全扫描，不是靠插件开关，而是靠预置：语言服务器、规则包、CVE 数据库、依赖树快照，全得在联网阶段打包好，再一并迁移。少一个环节，扫描就停在第一步——连漏洞列表都吐不出来。
