VSCode依赖扫描工具只认当前工作区根目录下的package.json和node_modules；必须通过File→Open Folder打开含package.json的根目录，否则npm audit、snyk等工具会静默失败或报ENOTDIR。
VSCode 依赖注入插件本身不扫描依赖范围
“依赖注入插件”不是 VSCode 内置概念，也没有统一叫这个名字的官方插件。你实际遇到的，大概率是某款静态分析类插件（如 snyk、nodejsscan、ESLint + security plugin）在扫描 Node.js 项目时，需要明确知道从哪开始找 package.json 和 node_modules——这个“从哪开始”，才是真正的扫描范围问题。
所有这类工具都遵循一个铁律：它们只认当前工作区根目录下的 package.json。不是你打开的某个 .js 文件所在路径，也不是 VSCode 窗口标题显示的文件夹名，而是你通过 File → Open Folder… 打开的那个最外层文件夹。
- 如果打开的是
/project/backend，但package.json在/project，那npm audit、snyk test全部静默失败或报错ENOTDIR - 如果项目是 monorepo（比如用 pnpm workspace），必须确保打开的是 workspace 根，且
pnpm install已执行完成 - 插件不会自动向上遍历找
package.json；VSCode 的 JS/TS 语言服务也不会跨根目录索引依赖
如何让扫描命令落到正确的 node_modules
绝大多数依赖扫描工具（snyk、npm audit、nodejsscan）运行时，会尝试复用当前 shell 的 node 和 PATH 环境。但 VSCode 内置终端有时继承的是父进程环境，而非你预期的项目环境。
验证和修复步骤：
- 在 VSCode 集成终端里运行
pwd（macOS/Linux）或cd（Windows），确认当前路径就是含package.json的目录 - 运行
which node和node -v，比对是否与项目.nvmrc或.tool-versions一致；不一致就说明 nvm 没加载 - Mac/Linux：在
.vscode/settings.json中加"terminal.integrated.env.osx": { "PATH": "/opt/homebrew/bin:/usr/local/bin:${env:PATH}" }，确保能读到 nvm 初始化脚本 - Windows：改用
corepack，它由package.json#engines驱动，和 Snyk 兼容性更好 - 临时兜底：在项目根目录下运行
npx snyk test或npx npm audit，绕过全局 CLI 版本冲突
扫描范围 ≠ 搜索范围，别混淆 search.exclude 和依赖扫描
你在 settings.json 里配的 search.exclude（比如 "**/node_modules/**": true）只影响 Ctrl+Shift+F 的文本搜索，完全不影响 snyk、npm audit 等 CLI 工具的行为。后者根本不读 VSCode 配置，只看当前目录结构和环境变量。
真正决定扫描范围的，只有两件事：
-
process.cwd()—— 即你运行命令时所在的目录 -
node_modules是否真实存在、是否完整（npm install是否成功执行）
常见误操作：
- 在 VSCode 里右键某个
src/index.js→ “Open in Integrated Terminal”，结果终端跳转到了/project/src，而不是/project - 用 Code Runner 插件直接运行
npm audit，但它默认以当前文件所在目录为工作路径，且不加载 shell 配置 - 以为装了 Snyk 插件就自动扫描，其实它默认是手动触发模式，且只在打开工作区时检查一次
monorepo 场景下必须显式指定子包路径
如果你的项目是 Lerna/pnpm workspace，而你想只扫描 packages/api 这个子包，npm audit 默认不会帮你切过去——它只认当前工作区根。
正确做法是：
- 不要靠 VSCode 插件自动识别子包，老老实实用终端切换：
cd packages/api && npm audit - Snyk 支持
--file=packages/api/package.json显式指定入口，但前提是该子包有独立的node_modules（即已pnpm install过） -
nodejsscan -i ./packages/api/src可以指定源码路径，但它仍会从当前工作目录向上找package.json解析依赖树，所以cd还是绕不开 - VSCode 工作区可以配置多根（multi-root workspace），但每个根仍是独立上下文；插件不会跨根聚合依赖信息
最易被忽略的一点：所有扫描工具都假设 node_modules 是扁平结构。如果你用的是 yarn v1 的 hoist 或 pnpm 的硬链接，部分工具（尤其是老旧版本的 nodejsscan）可能无法正确解析传递依赖路径，导致漏报——这不是范围设错了，是工具链兼容性问题。
