VSCode插件安装卡在0%主因是国产安全软件静默丢包，表现为Network面板请求长期stalled而浏览器可正常访问同一URL；需彻底退出安全软件、杀掉所有Code进程并重启，或临时设http.proxyStrictSSL为false排查。
VSCode插件卡在0%安装？先看防火墙是否静默丢包
不是插件源慢，也不是网络差，而是国产安全软件（如火绒、360、腾讯电脑管家）在TLS握手阶段直接丢弃请求包，导致VSCode根本发不出有效HTTP请求。现象是Network面板里第一个请求长期stalled，浏览器却能正常打开同一URL。
- 打开命令面板 →
Developer: Toggle Developer Tools→ 切到Network标签页，点安装中文语言包，观察首个失败请求的Timing：若始终卡在stalled且无后续阶段，基本锁定为本地拦截 - 右键任务栏安全软件图标 → 选择「彻底退出」或「暂时关闭防护」（仅关实时监控不够）
- 用任务管理器杀掉所有
Code.exe和Code Helper.exe进程（Windows），macOS则用活动监视器搜Code，再重启VSCode重试 - 临时验证时可设
http.proxyStrictSSL为false，但仅限排查——它绕过证书校验，不解决丢包本质
CodeGeex/Ollama类插件连不上localhost:11434？出站规则没配对
这类插件失败不是Ollama没跑起来，而是VSCode主进程或其子node.exe发起的HTTP请求被防火墙拦截了出站连接。入站规则放行11434端口没用，关键在出站。
- 管理员权限打开PowerShell，运行：
Get-NetFirewallApplicationFilter | Where-Object { $_.Program -like "*Code.exe*" } | Get-NetFirewallRule，若无输出或状态为“已禁用”，说明Code.exe未被放行 - 进「高级安全 Windows Defender 防火墙」→「出站规则」→「新建规则」→选「程序」→ 浏览定位到
C:\Users\<username>\AppData\Local\Programs\Microsoft VS Code\Code.exe</username>（路径含空格和用户名，务必复制粘贴） - 若仍失败，额外为
node.exe添加同款出站规则——很多AI插件底层用node子进程调fetch - 别只勾选「专用」网络：必须同时勾选「域」「专用」「公用」，否则换Wi-Fi就失效
调试连不上node --inspect:9229？入站端口规则缺一不可
VSCode报connection refused或卡在“Starting target…”，大概率是Windows防火墙默认拒绝所有入站连接，哪怕目标是127.0.0.1。这不是launch.json写错，是系统层拦截。
- 打开「高级安全 Windows Defender 防火墙」→「入站规则」→「新建规则」→选「端口」→ TCP → 填入实际调试端口（如
9229或5678） - 务必勾选「域」「专用」「公用」三项网络类型——缺一不可，否则切换网络后规则失效
- 命名建议带上下文，如
vscode-node-inspect-9229，避免日后混淆 - WSL2场景下该规则必不可少：WSL2的localhost映射在Windows看来仍是外部入站请求，不加规则必连不上
插件加载后无反应或弹模糊错？校验阶段被拦了
手动安装.vsix后提示“Download failed”或选完文件无反应，不是下载问题，而是VSCode在校验签名或引擎版本时，防火墙中断了本地文件读取或进程间通信。
- 这种失败发生在
vsix加载前的校验阶段，控制台可能只报Extension load failed之类模糊错误 - 确认防火墙已为
Code.exe和node.exe都添加了出站规则，且规则状态为“已启用” - 部分国产软件（如火绒）会拦截
Code.exe读写%TEMP%\vscode下的临时文件，需进其「自定义防护」页，放行Code.exe的“文件操作”子项 - 若用企业代理，确保代理服务本身支持非标准证书（如Clash需开
allow-unknown-ca: true），否则http.proxyStrictSSL: false也救不了
.vsix）三类行为，而不同安全软件对这三类的拦截策略和放行入口完全不同。 
