直接关掉签名验证是最有效方案，因VSCode 1.77+强制校验微软签名，离线、镜像源、自建插件等均会失败；设"extensions.verifySignature": false可跳过本地校验，需改对路径并彻底重启。
直接关掉签名验证是最有效方案，因为 VSCode 1.77+ 强制校验微软签名，离线、镜像源、自建插件等场景下几乎必然失败；设 extensions.verifySignature: false 可跳过本地校验，无需降级或改网络，但必须改对路径并彻底重启。
为什么 extensions.verifySignature: false 是首选
VSCode 从 1.77 版本起默认启用严格签名验证，所有通过市场或 code --install-extension 安装的插件都必须带微软签名。离线环境、国产系统、镜像源缓存包、自建插件等，几乎都会在解压前就被拦截报 INVALID_SIGNATURE 或静默卡住。
extensions.verifySignature: false 是官方保留的开关，它不修改任何文件、不降级版本、不依赖网络，只让本地扩展管理器跳过签名解压前的校验步骤。该配置作用于整个 VSCode 实例（包括 Remote-SSH/WSL），不是临时命令行参数。
- Windows 路径是
%APPDATA%\Code\User\settings.json（本地）或%USERPROFILE%\.vscode-server\data\Machine\settings.json（Remote） - Linux/macOS 对应路径为
~/.config/Code/User/settings.json或~/.vscode-server/data/Machine/settings.json - 配置后必须彻底重启 VSCode：关闭所有窗口 + 杀掉后台进程（如
Code Helper），否则不生效
code --install-extension 命令失败时怎么定位真实原因
命令行静默失败往往掩盖了关键错误。执行 code --install-extension my-ext.vsix 后无输出或报 Corrupted ZIP，不代表文件损坏，而是校验阶段被拦截。
- 先运行
unzip -t my-ext.vsix（Linux/macOS）或Expand-Archive my-ext.vsix -WhatIf（PowerShell）确认 ZIP 结构完整 - 若结构正常但命令仍失败，大概率是签名验证触发拒绝——此时加
--force也无效，因为--force不跳过签名校验，只跳过版本比对 - 真正有效的组合是：
code --install-extension my-ext.vsix --force+ 提前在settings.json中设"extensions.verifySignature": false - 注意：如果 VSCode 正在运行且已加载同名扩展，
--force会失败，需先退出所有实例
别碰 http.proxyStrictSSL: false 或调系统时间
这两个操作完全不解决签名验证问题，反而引入新风险。
-
http.proxyStrictSSL: false 只影响代理连接阶段的 HTTPS 证书校验，和.vsix文件本地解压后的签名验证无关 - 系统时间偏差 >±5 分钟确实会导致签名证书有效期校验失败，但这是极少数情况；且 VSCode 不会提示“时间错误”，只会报泛泛的
Untrusted: Signature，盲目调时间容易引发其他服务异常
最常被忽略的一点是：签名验证失败 ≠ 文件损坏，也不等于配置写错，而是 VSCode 在启动扩展管理器时就决定是否放行这个 ZIP 包。一旦校验逻辑触发，它不会尝试解压、不会读 package.json、也不会报具体哪一行出错——你看到的错误信息，只是它放弃处理之后甩出来的通用提示。
