VSCode 没有名为 Dependency-Analytics 的官方或主流插件，因其并非真实存在的扩展，而是对 vscode-dependencyGraph、npm audit、pip-audit 或 Snyk 等工具功能的误称或混淆。
VSCode 没有叫 Dependency-Analytics 的官方或主流插件——这个名字大概率是混淆了多个工具的组合描述，比如把 vscode-dependencyGraph、npm audit、pip-audit 或第三方扫描服务（如 Snyk、Dependabot）的功能混在一起命名了。直接搜这个插件名，在 VSCode Marketplace 或 npm 上都找不到有效结果。
为什么搜不到 Dependency-Analytics 插件？
这个名字不在 VSCode 官方扩展市场注册，也不是 npm 包名。常见误来源有三个：
- 把
vscode-dependencyGraph插件的“依赖分析”功能理解成“安全分析”，加了 Analytics 后缀自行命名 - 看到某篇旧教程把自定义脚本 +
npm audit+ESLint封装成一个任务，起名dependency-analytics，被当成了插件 - 企业内部封装的私有插件，未公开发布，外部无法安装
想做项目依赖安全分析，该装什么、怎么配？
真正能落地的组合是：命令行工具 + VSCode 任务 + 手动触发。插件只负责“展示”和“快捷调用”，不替代扫描逻辑。
-
npm audit：Node.js 项目必须用它，但得在含package-lock.json的根目录运行；VSCode 终端里报错？先cd到正确路径再试 -
pip-audit：Python 项目首选，比safety更准；安装必须用python -m pip install pip-audit，否则可能装进错误环境 -
vscode-dependencyGraph：可装，但它只画依赖图、不查漏洞；导出的dependencies.json不能当安全报告用 - 别信“一键启用安全扫描”的插件宣传——所有真实漏洞检测都依赖 CLI 工具输出，插件最多帮你点一下按钮
如何让安全检查结果在 VSCode 里可点击、可跳转？
靠自定义 tasks.json + 输出格式解析，不是靠插件自动识别。
- 在
.vscode/tasks.json中添加 task，例如为 Node 项目配置：{ "label": "npm audit --json", "type": "shell", "command": "npm audit --json --audit-level=high", "problemMatcher": { "owner": "npm-audit", "fileLocation": ["relative"], "pattern": [ { "regexp": "^\s*"path":\s*"([^"\r\n]+)",?$", "file": 1 }, { "regexp": "^\s*"severity":\s*"(high|critical)",?$", "severity": 1 } ] } } - 这样运行后，Problems 面板会显示高危项，且点击能跳转到
package.json对应行（前提是输出 JSON 结构被正确匹配） - Python 项目同理：用
pip-audit -r requirements.txt --format=json，但需配合自定义 problemMatcher，原生不支持
最容易被忽略的执行前提
所有依赖安全检查的前提不是“装了插件”，而是“当前环境已安装且版本匹配”。比如：
-
npm audit要求项目已执行过npm install，生成完整package-lock.json；仅靠package.json文件存在是不够的 -
pip-audit默认扫描已安装包，若你只改了requirements.txt却没pip install -r requirements.txt，它就看不到新声明的漏洞包 - VSCode 的集成终端有时工作目录不对，右键文件 → “Open in Integrated Terminal” 才能确保进入该文件所在子目录——这对多 workspace 项目尤其关键
