VSCode需依赖CodeGeeX插件与Node.js环境协同才能实现安全漏洞识别与修复闭环；必须启用securityMode、确保node≥v14.0、光标精准定位漏洞行，并提供完整Traceback上下文，否则自动修复失效。
VSCode 本身不直接检测或修复安全漏洞，必须依赖第三方插件（如 CodeGeeX）+ Node.js 环境支持才能完成从识别到加固的闭环。只装插件不配环境，或只跑 Node 脚本不接入编辑器，都会导致“看到漏洞但修不了”。
确认 CodeGeeX 安全模式已启用且绑定 Node 运行时
CodeGeeX 的安全分析能力不是开箱即用的，它需要调用本地 Node.js 环境执行校验逻辑，并加载微调过的安全模型。如果 codegeex.securityMode 未启用，右键菜单里“使用 CodeGeeX 修复”只会做基础语法纠错，不会碰 SQL 拼接、process.env.PASSWORD 明文、eval() 动态执行这类高危模式。
- 打开 VSCode 设置（
Ctrl+,），搜索codegeex.securityMode，必须勾选启用 - 确保系统 PATH 中能调用
node：终端执行node --version应返回 v14.0.0 或更高版本 - 插件安装后需点击“重新加载”——仅启用扩展不等于激活安全微调模型
对高危代码行触发修复时，注意光标位置和上下文范围
CodeGeeX 不是全局扫描器，它只分析当前光标所在行及其邻近上下文（通常为前后 3 行）。如果你把光标停在空行或注释行，即使下方有 query = "SELECT * FROM users WHERE id = " + req.query.id;，它也大概率无法识别。
- 光标必须落在含漏洞的表达式内部，比如停在
req.query.id上，或紧贴+拼接符右侧 - 若代码被包裹在函数/类中，需确保函数签名和参数定义可见（否则无法判断输入是否可信）
- 修复建议里会标注
CWE-89（SQL 注入）、CWE-798（硬编码凭证）等编号，这是判断是否真被识别的关键依据
终端报错反向定位时，要完整复制 Traceback 而非仅错误类型
当运行时报 java.lang.SecurityException 或 org.springframework.dao.DataIntegrityViolationException 时，CodeGeeX 需要完整的堆栈信息才能回溯到原始 SQL 构造点。只复制 DataIntegrityViolationException 这一行，模型无法知道哪段 JS/Java/TS 代码触发了它。
- 在 VSCode 终端中，鼠标拖选从
Traceback (most recent call last):开始直到最后一行 - 右键选择“使用 CodeGeeX 解释”，而非“修复”——此时它走的是异常归因路径，不是代码行修复路径
- 返回报告中若出现“根因位于
src/api/user.js:42”这类定位，才说明上下文提取成功
真正容易被忽略的不是怎么点右键，而是安全修复永远依赖上下文完整性：Node 版本太低会导致解析失败，光标位置偏移会让关键变量不可见，只截取错误名会让模型失去归因依据。这三者缺一，自动修复就退化成“看起来在修，实际没修”。
