扩展运行时安全性

扩展极大地增强了 Visual Studio Code 的功能。它们也可能带来风险，例如恶意代码执行和数据隐私问题。Visual Studio Marketplace 提供了多种方式来保护您免受不良扩展的侵害。此外，VS Code 还为您提供了几个扩展可靠性的指标。

本文档概述了 VS Code 中扩展的运行时权限以及保护您免受恶意扩展侵害的措施。您将了解如何在安装扩展之前对其可靠性做出明智的决定。

关于扩展运行时权限

扩展主机负责在 VS Code 中运行扩展。扩展主机具有与 VS Code 本身相同的权限。这意味着 VS Code 可以执行的任何操作，扩展都可以通过扩展主机执行。

例如，扩展可以读取和写入您机器上的文件、发出网络请求、运行外部进程以及修改工作区设置。

扩展发布者信任

从 VS Code 1.97 版本开始，当您首次安装第三方发布者的扩展时，VS Code 会显示一个对话框，提示您确认信任该扩展的发布者。

当您信任扩展包或依赖于其他扩展的扩展的发布者时，您也信任了所有依赖扩展的发布者。

您之前安装的扩展的发布者被视为受信任的，并自动添加到受信任发布者列表中。

您可以使用扩展: 管理受信任扩展发布者命令来管理受信任扩展列表。

确定扩展可靠性

在安装扩展之前，您可以采取多种步骤来确定它是否可靠。Visual Studio Marketplace 为您提供有关扩展的信息，以帮助您做出明智的决定。

• 评分和评论：阅读其他人对该扩展的看法。

• 问答：查看现有问题以及发布者的响应水平。如果您有疑虑，也可以与扩展的发布者沟通。

• 问题、仓库和许可证：检查发布者是否提供了这些，以及它们是否具有您期望的支持。

• 已验证发布者：将发布者名称和域名旁边的蓝色对勾标记作为额外的信任信号。该对勾标记表明发布者已向 Marketplace 证明了域名所有权。它还表明 Marketplace 已验证域名存在，并且发布者在 Marketplace 上至少有六个月的良好信誉。

  

市场保护措施

Visual Studio Marketplace 采用多种机制来保护您免受恶意扩展的侵害：

• 恶意软件扫描：Marketplace 对发布的每个扩展包进行恶意软件扫描，以确保其安全性。此扫描使用多个防病毒引擎，对每个新扩展和每个扩展更新都会运行。在扫描结果完全清除之前，该扩展不会在 Marketplace 中公开发布。

• 动态检测：Marketplace 通过在沙盒环境（隔离虚拟机）中运行扩展来验证其运行时行为，从而进行动态检测。

• 已验证发布者：发布者可以通过证明域名所有权来验证其身份（蓝色对勾标记）。这表明发布者已向 Marketplace 证明了域名所有权。它还表明 Marketplace 已验证域名存在，并且发布者在 Marketplace 上至少有六个月的良好信誉。

• 异常使用监控：Marketplace 监控扩展的下载和使用模式，以检测异常行为。

• 抢注名称：Marketplace 会阻止扩展作者盗用官方发布者（如 Microsoft 或 RedHat）以及流行扩展（如 GitHub Copilot）的名称。

• 阻止列表：如果报告并验证了恶意扩展，或者在扩展依赖项中发现漏洞，该扩展将从 Marketplace 中删除并添加到阻止列表。如果该扩展已安装，VS Code 将自动卸载它。

• 扩展签名验证：Visual Studio Marketplace 在发布所有扩展时都会对其进行签名。当您安装扩展时，VS Code 会检查此签名，以验证扩展包的完整性和来源。

在Visual Studio Marketplace 中的安全和信任博客文章中了解这些措施。

报告可疑扩展

如果您确实看到可疑的扩展，请向 Marketplace 团队报告该扩展。Marketplace 团队会在一个工作日内提供初步答复。

报告扩展

1. 在Visual Studio Marketplace 中打开扩展页面。

2. 选择扩展的更多信息部分底部的报告问题链接。

相关资源

• 了解如何在Visual Studio Code 中安装和管理扩展。

• 使用工作区信任来决定项目文件夹中的代码是否可以在未经明确批准的情况下由 VS Code 和扩展执行。这在处理不熟悉的代码时增加了额外的安全层。

• 配置VS Code 中允许的扩展，以强制规定组织中允许使用哪些扩展。