extension.js真正防拷贝需用javascript-obfuscator混淆：变量名乱码（如_0xabc123）、控制流扁平化、反调试（debugProtection）、禁用console输出；.env/config.json防护须三层联动——系统级chmod 444/Windows只读属性、VS Code files.readonly配置、关闭files.saveWithoutWatching。
VS Code 插件代码和项目敏感文件不能靠“心理安全感”保护，必须分层处理：插件核心逻辑防逆向，项目文件防误提交/误读。两者技术路径完全不同，混用方案反而失效。
extension.js 怎么加密才真正防拷贝？
直接混淆 extension.js 是最现实的选择——不是所有“加密”都叫加密，javascript-obfuscator 生成的乱码变量（如 _0xabc123）+ 控制流扁平化 + 反调试，能让 99% 的人放弃还原；但别信“压缩即加密”，webpack --mode=production 输出的代码格式化后仍可读。
- 必须禁用
debugger语句并开启disableConsoleOutput，否则控制台里一断点就暴露原始逻辑 - 混淆后务必测试插件激活流程：
vscode.extensions.getExtension('your.id')?.activate()不能报ReferenceError - 不要把密钥、API 地址硬编码进混淆后的 JS 里——混淆不等于加密，字符串依然可被正则提取
.env 或 config.json 怎么防止被编辑或提交？
仅靠 .gitignore 不够，它只管 Git，不管 VS Code 编辑器行为。真正起效要三层联动：
- 系统级只读：
chmod 444 .env（Linux/macOS）或右键属性 → 勾选“只读”（Windows），这是唯一能阻止Ctrl+S成功写入的手段 - 编辑器级拦截：在
.vscode/settings.json中设"files.readonly": ["**/.env", "**/config.json"]，匹配后右下角显示锁图标且保存按钮灰掉 - 必须关掉
files.saveWithoutWatching（默认为true），否则 VS Code 会跳过只读检查直接写磁盘
为什么右下角显示 “Read-only” 却还能删内容？
因为 VS Code 的只读提示只是视觉反馈，不是行为锁。它只拦截 save 操作，不阻止键盘输入、粘贴、删除——这是设计使然，不是 Bug。
- 若要彻底禁用编辑（光标不可定位、
Del键无效），只能依赖操作系统权限：设chmod 444后重新打开文件，VS Code 才进入“强只读”状态 -
files.exclude和search.exclude只是隐藏文件，不影响实际读写能力，别把它当安全措施 - 团队协作时，
.vscode/settings.json中的files.readonly不会自动同步给其他成员，每人需单独启用
调试时怎么避免敏感变量出现在 Variables 面板？
VS Code 调试器默认全量展示变量值，password、token 这类字段必须过滤，否则调试过程就是信息泄露现场。
- 在
.vscode/launch.json的配置中加"skipFiles": ["**/node_modules/**"]，减少无关变量干扰 - 用
variablesFilter（需调试器支持）或自定义evaluate行为：在debug配置里注入逻辑，对含secret、key的变量名返回[REDACTED] - 禁止在
console.log里打印敏感字段——调试器会缓存历史输出，即使代码删了，面板里还留着
真正的防护不是堆砌配置，而是明确每层作用：系统权限锁写入、编辑器配置锁操作、混淆工具锁源码结构。任何一层松动，整条链就失效。尤其注意 files.saveWithoutWatching 这个默认开启的“后门”，它让所有只读设置形同虚设。
