根本原因是VSCode不信任企业私有CA证书，必须手动设置NODE_EXTRA_CA_CERTS环境变量指向绝对路径的PEM根证书文件，且需确保桌面启动方式继承该变量，否则Git、Remote-SSH及AI插件等均会因TLS校验失败而中断。
VSCode 在企业专网中无法连接 GitLab、code-server 或 Remote-SSH 服务，根本原因不是 Node.js 没装好，而是它根本不信任你内网的私有 CA 证书——即使系统级已安装，VSCode 也大概率视而不见。
为什么 NODE_EXTRA_CA_CERTS 是必须手动设的
VSCode 基于 Electron，底层复用 Chromium 网络栈，但它的 Node.js 运行时（比如扩展进程、内置终端里的 node）默认不读取系统证书库。尤其在麒麟 V10、统信 UOS 等国产系统上，/etc/ssl/certs/ca-certificates.crt 里压根没你的内部根证书。
- 只靠双击安装根证书到系统钥匙串或 Windows 证书管理器，
git clone https://gitlab.internal可能成功，但Tabnine扩展或Remote-SSH的 TLS 握手仍会失败 -
NODE_EXTRA_CA_CERTS是唯一能让 VSCode 启动时所有 Node.js 子进程（包括扩展、调试器、终端 node）统一加载指定 PEM 根证书的机制 - 路径必须是绝对路径，且文件权限需对当前用户可读（Linux/macOS 下避免放在
~/Downloads这类可能被沙盒限制的目录）
http.proxyStrictSSL 和 remote.SSH.enableAgentForwarding 怎么配才不翻车
仅设 NODE_EXTRA_CA_CERTS 能解决大部分 HTTPS 请求，但 Remote-SSH、某些语言服务器或代理场景仍会报 net::ERR_CERT_AUTHORITY_INVALID。这时要分组件补配置：
-
"http.proxyStrictSSL": false—— 仅影响 VSCode 自身 HTTP 客户端（如扩展市场、设置同步），不能关掉它来绕过 Git 操作的证书校验 -
"remote.SSH.enableAgentForwarding": true—— 让 Remote-SSH 复用本地 SSH agent 的信任链，前提是你的~/.ssh/config里已配好ForwardAgent yes且 agent 已加载企业 CA 相关密钥 - 切勿全局设
"security.allowInsecureContent": true，这会削弱整个编辑器的安全边界
验证证书是否真正生效的三步法
别只看 Git 能 pull 就算完，得确认 VSCode 各个子系统都认你这张证书：
- 打开 VSCode 内置终端，运行
console.log(process.env.NODE_EXTRA_CA_CERTS)，输出应为你的 PEM 文件绝对路径 - 在终端执行
curl -v https://gitlab.internal（需提前apt install curl），响应头里出现* SSL certificate verify ok.才算通过 - 打开 Remote-SSH 连接面板，尝试连接内网主机；若弹出 “The remote host’s certificate is not trusted” 提示框，说明 SSH 组件未走通证书链，需检查
remote.SSH.enableAgentForwarding或改用ssh -o StrictHostKeyChecking=no临时调试（仅限测试环境）
最易忽略的是：VSCode 桌面快捷方式启动时，NODE_EXTRA_CA_CERTS 环境变量不会自动继承。Linux 下要改 .desktop 文件的 Exec= 行，Windows 下得用 CMD 批处理包装启动，否则你配了半天，实际运行的 VSCode 还是裸连。
