VSCode插件更新失败根本原因是网络请求被企业网关、WAF或代理在TLS握手、SNI或请求头层面截断，导致Network面板中marketplace请求长期pending；需通过curl -v验证、抓包分析RST包、禁用autoCheckUpdates与autoUpdate并彻底退出进程来修复。
VSCode 插件更新失败，不是插件坏了，而是网络请求在半路被截了——常见于企业网关、WAF 或本地代理对 TLS 握手、SNI 字段或请求头的主动干预。
为什么 Network 面板里全是 pending 状态？
这是最典型的“被卡住”现象：VSCode 启动或检查更新时，marketplace.visualstudio.com 和 vscode.blob.core.windows.net 的请求长期显示 pending，无状态码、无响应体。根本原因不是 VSCode 慢，而是它用的是同步 HTTP 客户端（Electron 内置），一旦底层 TCP 连接被防火墙 RST 或 TLS 握手被策略中断，就会卡满超时（通常 20–30 秒）。
- 别信“我浏览器能打开 marketplace 就说明网络通”——浏览器走系统 TLS 栈，VSCode 走 Electron 自带的 Chromium 网络栈，行为不一致
- 执行
curl -v https://marketplace.visualstudio.com是更可靠的验证方式；若 curl 也卡或报net::ERR_CONNECTION_RESET，问题 100% 在网络层 - 某些企业网关会根据
User-Agent字段拦截旧版 VSCode（如vscode/1.85.0），升级到 1.90+ 后默认启用 TLS 1.3，反而触发策略误判
如何确认是 TLS 握手被重置？
打开开发者工具（Ctrl+Shift+I → Console 标签页），搜索 ERR_CONNECTION_RESET 或 net::ERR_SSL_PROTOCOL_ERROR。这类错误几乎都指向中间设备（出口网关、WAF、安全审计系统）在 TLS ClientHello 后主动发 RST 包。
- VSCode 1.89+ 默认协商 TLS 1.3，但部分老旧网关只支持 TLS 1.2；可临时在
settings.json中加"http.proxyStrictSSL": false测试是否缓解（仅用于诊断，勿长期开启） - 禁用所有代理设置后仍失败？检查是否被系统级透明代理劫持：某些安全软件（如奇安信、深信服 SSL 解密网关）会在不通知的情况下注入代理，导致 VSCode 请求头异常
- 抓包验证：用 Wireshark 过滤
tcp.port == 443 and ip.addr == 20.42.128.0/17（微软 CDN IP 段），看是否有 Server Hello 后立即出现 RST 包
extensions.autoCheckUpdates 关掉也没用？
关了这个配置，只是停后台轮询，但已安装插件的图标右下角仍可能显示小蓝点、右下角弹气泡提示“Update available”——因为通知队列没清空，且部分插件（如 GitLens、ESLint）自己实现更新检查逻辑，完全绕过 VSCode 原生通道。
- 必须同时设
"extensions.autoCheckUpdates": false和"extensions.autoUpdate": false，否则仍会触发网络探测 - 改完保存后，必须彻底退出 VSCode（包括托盘进程），否则设置不生效
- 清除残留通知不能只点 ×：运行命令面板（
Ctrl+Shift+P）→ 输入并执行Notifications: Clear All Notifications - GitLens 类插件需单独处理：
gitlens.advanced.messages设为空数组，或关掉gitlens.telemetry.enabled（取决于版本）
手动装 .vsix 为什么还报“损坏”？
下载的文件名看起来像 ms-python.python-2026.4.1.vsix，但安装时报“Extension is corrupt”，大概率是下载中途断了，或你点错了按钮。
- 别点插件页右上角“Download Extension”旁那个灰色小链接——那是
Microsoft.VisualStudio.Services.VSIXPackage，VSCode 不认 - 正确路径：点齿轮图标 →
Download Specific Version，或直接滚动到底部点Download VSIX（文字按钮，非链接） - 下载后检查文件大小：Python 扩展正常在 80–120 MB；若只有几 MB，说明下载不完整
- 安装时报
Extension is not compatible with current version of VS Code，说明package.json里engines.vscode字段要求高于你当前版本（如^1.92.0vs 你用的1.90.2），需手动解压修改再重打包
真正难处理的不是“连不上”，而是“连上了又断”——比如 TLS 握手成功但后续请求被 WAF 根据 header 或 payload 拦截。这种问题往往没有明确报错，只能靠 curl 对比 + Wireshark 抓包定位。企业环境中，与其反复调代理，不如直接走离线 .vsix + 内网镜像源组合方案。
