安全调用OpenAI API需通过VSCode配置机制传密钥、绕过CORS限制、构造带语义的代码上下文：密钥走contributions.configuration并设"secure":true；请求须经本地代理或启用workspace扩展；上下文应包含选区+前后5行及类型信息，避免token超限与语义丢失。
直接装现成插件最省事，但想真正控制上下文、安全和响应质量，必须自己调用 OpenAI API 写扩展。市面上多数插件把 API 密钥存在前端或走不明代理，选错方案可能让代码片段被上传、提示词被固化、错误修复建议带 rm -rf 类危险命令——这些都不是“辅助”，是埋雷。
怎么安全传 OPENAI_API_KEY 给 VSCode 插件
硬编码在 extension.ts 或存进 package.json 是典型错误。VSCode 提供了标准配置机制，密钥应走用户设置层：
- 在
package.json的contributes.configuration里定义一个chatgpt.apiKey配置项，类型设为string，加"secure": true标记（VSCode 会自动隐藏输入） - 插件启动时用
vscode.workspace.getConfiguration().get("chatgpt.apiKey")获取，返回undefined就弹提示让用户去设置 - 绝不要用
process.env.OPENAI_API_KEY—— VSCode 扩展运行在渲染进程，process.env不可用，且环境变量易被调试工具窥见
为什么 fetch("https://api.openai.com/") 会失败
VSCode 扩展默认禁用跨域请求，直接 fetch 会触发 CORS 错误，报 Failed to fetch 或 net::ERR_FAILED。正确做法是绕过浏览器同源策略：
Ask Gemini/ChatGPT
下载
用于在用户想通过浏览器自动化与 Google Gemini 或 ChatGPT 交互时。触发短语包括“ask Gemini”“ask ChatGPT”“ask GPT”“让...”。
- 推荐走本地代理（哪怕起个
express小服务），把请求转发出去，避开前端限制 - 若坚持前端直连，必须在
package.json中声明"enableProposedApi": true并指定extensionKind: ["workspace"]，但不稳定，不推荐 - 流式响应（
text/event-stream）需手动解析data:前缀，fetch默认不支持，得用ReadableStream+TextDecoderStream拆包
怎么让 ChatGPT 真正“看懂”当前代码
只传选中文本或当前行，效果约等于盲人摸象。关键是要构造带语义的上下文，不是堆 token：
- 用
vscode.window.activeTextEditor?.document.getText()拿全文，再结合selection截取高亮区，避免截断函数体 - 加 5 行上文 + 5 行下文（通过
document.lineAt()计算），保留缩进和空行，否则 GPT 会误判作用域 - 对 TypeScript/JavaScript 文件，可调用
typescript.LanguageService提取符号类型，拼进 prompt：“当前函数返回值类型是Promise<user></user>” - 避免传
node_modules或大 JSON，token 超限会导致截断或拒答
真正难的不是调通 API，而是把编辑器里的“正在发生什么”准确翻译成 AI 能理解的上下文。光标位置、文件类型、打开的关联文件、甚至最近一次终端命令输出，都可能是决定回答质量的关键变量——这些细节，绝大多数插件压根没处理。
