插件版本必须与VSCode主程序严格匹配，且需微软签名验证通过；离线安装须用命令行code --install-extension并确保依赖插件一并下载。
插件版本必须与VSCode主程序严格匹配
涉密机通常禁用自动更新，一旦VSCode主程序卡在某个旧版本（如1.79.2），而你下载了仅兼容1.85.0+的插件.vsix，安装会静默失败——VSCode既不报错，也不出现在已安装列表里。
验证方法很简单：在离线机上运行code --version，拿到完整版本字符串（含commit hash）；再打开目标插件的package.json（解压.vsix即可），检查engines.vscode字段是否覆盖该版本。常见坑点包括：
-
^1.80.0不匹配1.79.2，哪怕只差一个小版本 - 某些插件（如
ms-python.python）从2023.10.1起强制要求1.84.0+，但官网页面不显式标注 - 企业定制版VSCode可能修改了
product.json中的version或commit，需以实际输出为准
不能直接拖拽安装，必须用code --install-extension
图形界面下的“从 VSIX 安装…”看似方便，但在涉密机上常因权限策略被拦截：Windows组策略可能禁用UI层的文件系统写入，或杀毒软件将拖入动作识别为“可疑进程注入”。而命令行方式绕过多数GUI级管控。
执行前确认两点：
-
code命令已加入PATH（若未配置，用绝对路径，如"C:\Program Files\Microsoft VS Code\bin\code.cmd"） - 以当前开发用户身份运行终端（不要用管理员权限，否则插件会装到
%PROGRAMDATA%而非%USERPROFILE%，导致其他用户不可见） - 命令后必须跟完整路径，相对路径在PowerShell中容易解析失败，例如：
code --install-extension "D:\vsix\gitlens-14.5.0.vsix"
.vsix文件必须带微软签名且校验通过
高安全环境会启用VSCode的扩展签名验证机制（默认开启）。如果.vsix被二次打包、重命名或从非官方源下载，安装时会出现Extension is not signed by Microsoft错误，且无法跳过。
签名验证发生在安装前，不依赖网络——VSCode用内置证书链校验extension.vsixmanifest中的签名块。因此：
- 严禁用
zip工具手动修改.vsix内容（哪怕只改一个图标） - 下载后务必核对SHA256：官方市场下载页右侧有“Signature”链接，点开会显示签名哈希值；第三方镜像（如GitHub Release）必须比对发布页的
SHA256SUMS文件 - 金融/军工类客户曾因使用CI流水线自动生成的
.vsix（未嵌入微软签名）导致整批机器安装失败，回溯耗时两天
依赖插件必须提前一并下载，无自动拉取能力
VSCode离线模式下完全不联网，不会尝试下载package.json中声明的extensionDependencies。比如安装ms-python.python时，它硬依赖ms-toolsai.jupyter和ms-vscode.powershell，缺任何一个，Python调试器就无法启动，且无明确提示。
获取完整依赖链的方法：
- 在外网机上，先用
code --install-extension ms-python.python成功安装，再进%USERPROFILE%\.vscode\extensions\目录，把所有子文件夹整体拷出——这是最稳妥的“依赖快照” - 或用脚本解析：解压
.vsix→ 读package.json→ 提取extensionDependencies数组 → 对每个ID重复调用vsce download - 注意：依赖插件本身也有自己的
engines.vscode，必须全部满足主程序版本约束
真正麻烦的不是下载或安装步骤，而是版本对齐和签名验证这两环——它们不出错时不声不响，一出错就表现为功能缺失且日志里找不到线索。建议把每次部署的code --version输出、每个.vsix的SHA256和签名哈希，记在同一张离线清单里，便于审计追溯。
