VSCode安装包被杀软误报为“木马”属典型启发式误判，非文件真实有毒；应优先通过VirusTotal验证、换官网下载、向Windows Defender添加三个核心文件夹排除项（主程序、用户数据、临时缓存），并针对火绒/360等软件在自定义防护中放行Code.exe的远程线程创建与本地端口监听行为。
VSCode安装包被杀软标为“木马”怎么办
不是安装包真有毒，而是杀软用启发式扫描把 VSCode 的 Electron 打包结构、动态链接行为或未签名的二进制段误判为恶意特征。Windows Defender、火绒、360、腾讯电脑管家都干过这事，尤其在下载完立刻双击安装时最易触发。
别急着删杀软——它大概率是对的，只是没认出 VSCode。验证方法很简单：virusTotal.com 上传你下载的 VSCodeUserSetup-x64-1.89.0.exe（以实际版本为准），看主流引擎是否一致报毒。如果只有 1–2 家报，基本可断定是误报。
- 优先换官方渠道重下：从
https://code.visualstudio.com/Download下 User Installer 或 System Installer 版本，避免第三方镜像或加速站分发的篡改包 - 不要右键“以管理员身份运行”安装程序——User Installer 本就不该需要提权，强行提权反而激活 UAC 拦截链
- 临时关闭实时防护（非卸载）后安装，装完立刻重新启用；若公司策略禁止关防毒，就走下一步
如何让 Windows Defender 完全放过 VSCode 安装和运行
加单个 Code.exe 不顶用，子进程（renderer.exe、gpu-process.exe、extensionHostProcess.exe）照样被拦。必须加三个文件夹，且类型必须选「文件夹」而非「文件」：
-
%USERPROFILE%\AppData\Local\Programs\Microsoft VS Code（主程序目录） -
%USERPROFILE%\AppData\Roaming\Code（用户配置与扩展数据） -
%TEMP%\vscode（临时缓存，TypeScript/ESLint 插件高频读写）
路径粘贴进去后，Defender 不会弹窗、不会记录日志、也不会降级扫描强度——它真的就当这些路径不存在。操作入口：设置 → 隐私和安全性 → Windows 安全中心 → 病毒和威胁防护 → 管理设置 → 添加或删除排除项。
火绒/360/腾讯电脑管家的“自定义防护”才是真拦路虎
这类软件的主界面可能放行了 Code.exe，但“自定义防护”模块仍会拦截以下行为，且不提示、不弹窗、只静默失败：
- 创建远程线程（调试器注入、Live Server 启动时 hook 浏览器）→ 触发“进程注入”告警
- 监听本地回环端口（如
http://127.0.0.1:5500）→ 判定为“可疑网络行为” - 修改自身内存（V8 JIT 编译 JS 代码）→ 标为“代码自修改”
解决方式不是关掉主动防御，而是打开对应软件的「自定义防护」页 → 查最近拦截记录 → 对 Code.exe 相关条目点「添加信任」。部分版本需手动新建规则，类型选“允许监听本地端口”和“允许创建远程线程”——注意，只勾这两项，别开“允许所有网络连接”这种宽泛权限。
安装失败后残留的权限锁比杀软更难缠
如果安装中途被拦，%APPDATA%\Code 或 %TEMP%\vscode 可能已被杀软加了 NTFS 权限锁（比如把当前用户设为“拒绝写入”），后续哪怕杀软已放行，VSCode 启动时也会因无法读写配置而降级到临时沙箱模式——插件全丢、设置不生效、终端打不开。
验证命令：icacls "%APPDATA%\Code"，输出里若出现 DENY 或缺失 F（Full Control），就得手动修复。右键该文件夹 → 属性 → 安全 → 编辑 → 选中你的用户名 → 勾上“完全控制”，再点“替换子容器和对象的权限”。这步做完，再启动 VSCode 才算真正“干净”。
