最稳妥的.vsix安装方式是关闭VSCode后执行code --install-extension，需确保VSCode完全退出、code命令在PATH中、路径无空格中文，并核对engines.vscode版本兼容性、校验SHA256完整性、检查系统依赖CLI工具。
直接用 code --install-extension 安装 .vsix 文件最稳妥，但必须关掉 VSCode 再执行
很多人在内网机器上双击 .vsix 或拖进扩展面板失败，根本原因是 VSCode 进程正在运行，插件目录被占用。命令行安装看似简单，但实际执行时容易忽略两个硬性前提：
- VSCode 必须完全退出（包括系统托盘里的后台进程），Windows 可在任务管理器中确认
Code.exe进程已消失 -
code命令需在 PATH 中——如果提示command not found或'code' is not recognized，别急着重装，先查安装路径：C:\Users\{user}\AppData\Local\Programs\Microsoft VS Code\bin\code（Windows）或/Applications/Visual Studio Code.app/Contents/Resources/app/bin/code（macOS），然后把对应bin目录加进环境变量 - 路径里含空格或中文会报错，务必用英文路径、避免空格，例如
D:\vscode-ext\python-2024.12.0.vsix可以，C:\我的插件\python.vsix会失败
下载 .vsix 时必须核对 engines.vscode 字段，否则安装后不生效
插件包不是“下了就能用”。打开任意已下载的 .vsix 文件（本质是 ZIP），解压后查看根目录下的 package.json，重点检查这一行：
"engines": { "vscode": "^1.80.0" }
它表示该插件只兼容 VSCode 1.80.0 及以上、但低于 1.90.0 的版本。如果你的内网机器上是 code --version 输出的 1.75.1，强行安装后插件图标会显示灰色，点击启用无反应——这不是 bug，是 VSCode 主动拒绝加载。
- 企业机房常因安全策略锁定旧版 VSCode（如 1.72.x），此时不能硬升插件，得降级下载：去插件页点
Version History，找匹配你 VSCode 版本的旧版 .vsix - 别信第三方打包站标称的“全版本兼容”，
engines.vscode是硬约束，VSCode 启动时会校验，不匹配就跳过加载 - Python 插件
ms-python.python在 1.82+ 才支持 Pylance 默认集成，若你用的是 1.79，得额外下载ms-python.pylance并手动启用
批量部署时，用 code --list-extensions 导出 ID 列表比截图更可靠
给二十台内网机器统一装插件，靠人工记插件名或截图极易漏项、拼错。真正省事的做法是：在一台已配好的合规机器上，运行：
code --list-extensions > extensions.list
生成的文件内容是纯文本 ID 列表，例如：
ms-python.python esbenp.prettier-vscode redhat.vscode-yaml
这个列表可直接用于离线批量安装脚本，也方便审计——安全团队要求提供“已安装插件清单”时，交这个比交一堆 .vsix 文件更有说服力。
- ID 格式固定为
{publisher}.{extension-name}，大小写敏感，MS-Python.python或ms-python.Python都会安装失败 - 某些插件（如通义灵码）ID 含下划线，如
alibaba.aliyun-lingma，复制时别漏掉 - 导出前确保所有插件已启用，禁用状态的插件不会出现在
--list-extensions输出中
校验 .vsix 文件完整性不能只看文件大小，要用 SHA256 对照官方发布记录
金融、政务类机房审计时，会要求提供插件来源可追溯、内容未篡改的证据。仅靠文件名（如 python-2024.10.0.vsix）或下载链接无法满足等保2.0三级要求。
- 官方市场每个版本页面底部有
SHA256哈希值（位置在 Version History 表格末列），下载后立即用 PowerShell 运行：Get-FileHash -Algorithm SHA256 D:\ext\python.vsix，比对是否一致 - GitHub Release 页面发布的 .vsix，通常附带
.sha256文件，用certutil -hashfile xxx.vsix SHA256（Windows）或shasum -a 256 xxx.vsix（Linux/macOS）校验 - 曾有团队因 U 盘传输导致文件末尾多出不可见字符，SHA256 不匹配，插件安装后崩溃，但错误日志里只报
Extension host terminated unexpectedly，排查三天才发现是传输损坏
最易被忽略的一点：插件依赖的 Node.js 运行时是打包在 .vsix 里的，但部分插件（如 ESLint、Docker）会调用系统 PATH 中的 CLI 工具。离线机房若没预装 node、docker 或 deno，即使 .vsix 安装成功，功能也无法使用——这不属于插件安装范畴，但恰恰是安全合规环境中最容易卡住验收的环节。
