VSCode Workspace Trust是强制启用的安全机制——未信任时tasks.json构建、launch.json调试、TS语言服务及ESLint等扩展后台功能全部禁用；必须点击“Trust and Reload”重载窗口才能启用，且信任不跨路径、不跨远程连接。
VSCode 的 Workspace Trust 不是“要不要信”的选择题，而是你每次打开新文件夹时必须面对的执行权限开关——不点信任，tasks.json 里的构建命令不会跑，launch.json 的调试器点不动，typescript-server 根本不启动，连 ESLint 和 GitLens 的后台分析都会静默停摆。
为什么刚克隆的 GitHub 仓库打不开 TS 提示和自动导入
这不是插件坏了，也不是配置漏了，而是未信任状态下 typescript-server 被强制隔离。它连进程都不拉起，自然没有类型检查、跳转、补全或自动导入。你看到的“有语法高亮但没提示”，就是受限模式最典型的表征。
- 确认方式：打开开发者工具（
Developer: Toggle Developer Tools），执行vscode.workspace.isTrusted，返回false就是根源 - 别试“重启 VSCode”或“重装插件”——这些操作在未信任区完全无效
- 临时查看代码没问题，但想写、想调、想 lint，就必须点右下角状态栏的
Not trusted→Trust this workspace
点“Trust and Reload”后所有终端/标签页都消失了，正常吗
完全正常。这不是 bug，是设计行为：Trust and Reload 触发的是整窗口级重载，不是热更新。所有未保存的编辑器、正在运行的终端、打开的调试面板、甚至断点设置，全部清空。
- 这是为安全做的代价：信任变更必须彻底重置环境，防止旧上下文残留恶意逻辑
- 建议操作前手动保存关键文件，或提前用
File > Save All（Cmd+K S） - 如果误点了
Don’t Trust，不能靠关再开恢复，必须再执行一次Developer: Toggle Workspace Trust
能否让某些路径自动信任，比如本地 ~/projects
不能自动信任，但可以显式排除不信任路径。VSCode 不提供“白名单自动信任”，只支持“黑名单禁止信任”：
- 在用户设置（
Preferences: Open Settings (JSON)）中添加："security.workspace.trust.untrustedFolders": ["/Users/you/Downloads", "/Users/you/Desktop"] - 这个列表只告诉 VSCode “这些路径永远别信”，而不是“这些路径默认信”
-
security.workspace.trust.enabled设为false确实能全局关闭提示，但会同时放开tasks.json里任意curl、rm -rf、node -e的执行权限——2026 年已有多起依赖投毒后通过未信任工作区自动触发恶意 task 的真实案例
远程开发（SSH/WSL/Containers）的信任状态独立吗
完全独立。你在本地 VSCode 里信任了 /home/user/project，不代表连接到同一台 WSL 或远程主机后，那个路径就自动可信。
- 信任状态只绑定“本地 VSCode 实例 + 当前连接目标”的组合，不跨连接复用
- 远程容器里打开的
.vscode/tasks.json，即使内容和本地一模一样，也要单独点一次信任 - 特别容易忽略的一点：子文件夹不继承信任。你信任了
/project，再在资源管理器里右键打开/project/node_modules，它仍是未信任状态——而这里恰恰是恶意postinstall脚本最常藏身的位置
