直接关闭签名验证是最有效方案，因VSCode 1.77+强制校验微软签名，离线、镜像源、自建插件等均会失败；设"extensions.verifySignature": false可跳过本地校验，无需降级或改网络，但需改对路径并彻底重启。
直接关掉签名验证是最有效、最可控的解决方式，不是妥协，而是绕过 VSCode 1.77+ 强制校验逻辑的必要操作。
为什么 extensions.verifySignature: false 是首选方案
VSCode 从 1.77 版本起默认启用严格签名验证，所有通过市场或 Install from VSIX 安装的插件都必须带微软签名；离线环境、国产系统、镜像源缓存包、自建插件等几乎必然失败。而 extensions.verifySignature: false 是官方保留的开关，它不修改任何文件、不降级版本、不依赖网络，只让本地扩展管理器跳过签名解压前的校验步骤。
- 该配置作用于整个 VSCode 实例（包括 Remote-SSH/WSL），不是临时命令行参数
- Windows 路径是
%USERPROFILE%\.vscode-server\data\Machine\settings.json（Remote 场景）或%APPDATA%\Code\User\settings.json（本地） - Linux/macOS 对应路径为
~/.vscode-server/data/Machine/settings.json或~/.config/Code/User/settings.json - 配置后必须彻底重启 VSCode（关闭所有窗口 + 杀掉后台进程），否则不生效
code --install-extension 命令失败时怎么定位真实原因
命令行静默失败往往掩盖了关键错误。执行 code --install-extension my-ext.vsix 后无输出或报 Corrupted ZIP，不代表文件损坏，而是校验阶段被拦截。
- 先运行
unzip -t my-ext.vsix（Linux/macOS）或Expand-Archive my-ext.vsix -WhatIf（PowerShell）确认 ZIP 结构完整 - 若结构正常但命令仍失败，大概率是签名验证触发拒绝——此时加
--force也无效，因为--force不跳过签名校验，只跳过版本比对 - 真正有效的组合是：
code --install-extension my-ext.vsix --force+ 提前在settings.json中设"extensions.verifySignature": false - 注意：如果 VSCode 正在运行且已加载同名扩展，
--force会失败，需先退出所有实例
别碰 http.proxyStrictSSL: false 或改系统时间
这两个操作完全不解决签名验证问题，反而引入新风险。
-
http.proxyStrictSSL: false只影响代理连接阶段的 HTTPS 证书校验，和.vsix文件本地解压后的签名验证无关 - 系统时间偏差 >±5 分钟确实会导致签名证书有效期校验失败，但这是极少数情况；且 VSCode 不会提示“时间错误”，只会报泛泛的
Untrusted: Signature，盲目调时间容易引发其他服务异常 - 镜像源（如
https://vscode-ext.oss-cn-shenzhen.aliyuncs.com）只是换请求地址，不重签、不修包，无法绕过本地校验逻辑 - 双击打开
.vsix文件已被 VSCode 1.70+ 彻底禁用，不会触发安装，也不报错
签名验证本身是安全机制，但它的强制性在离线、定制化或企业内网场景下成了障碍。关掉它不是放弃安全，而是把信任决策权交还给使用者——你清楚这个插件来源可信，就该能装上。最容易被忽略的是：Remote 场景下要改的是 .vscode-server 目录下的 settings.json，而不是本地用户目录；改错位置，重启一百次也没用。
