扩展运行时安全性

扩展极大地增强了 Visual Studio Code 的功能。它们也可能引入风险，例如恶意代码执行和数据隐私问题。Visual Studio Marketplace 提供了多种方法来保护您免受不良扩展的侵害。此外，VS Code 还为您提供了衡量扩展可靠性的几个指标。

本文档概述了 VS Code 中扩展的运行时权限以及保护您免受恶意扩展侵害的措施。您将学习如何在安装扩展之前做出明智的可靠性判断。

关于扩展运行时权限

扩展主机负责在 VS Code 中运行扩展。扩展主机具有与 VS Code 本身相同的权限。这意味着 VS Code 可以执行的任何操作，扩展也可以通过扩展主机执行。

例如，扩展可以读取和写入您机器上的文件、发起网络请求、运行外部进程以及修改工作区设置。

从 VS Code 1.97 版本开始，当您首次安装来自第三方发布者的扩展时，VS Code 会显示一个对话框，提示您确认信任该扩展的发布者。

当您信任扩展包或依赖于其他扩展的扩展的发布者时，您也信任依赖扩展的发布者。

您之前安装的扩展的发布者被视为受信任，并会自动添加到受信任发布者列表中。

您可以使用扩展：管理受信任的扩展发布者命令来管理受信任扩展列表。

重要事项

使用VS Code 命令行安装扩展时，扩展的发布者不会自动受信任。

在安装扩展之前，您可以采取各种步骤来确定它是否可靠。Visual Studio Marketplace 为您提供了有关扩展的信息，帮助您做出明智的决定

评分和评论：阅读其他人对该扩展的看法。
问答：查看现有问题和发布者的响应水平。如果您有疑虑，也可以与扩展的发布者沟通。
问题、存储库和许可证：检查发布者是否提供了这些信息，以及它们是否提供您期望的支持。
已验证发布者：使用发布者名称和域名旁的蓝色对勾作为额外的信任信号。对勾表示发布者已向市场证明其拥有域名。它还表明市场已验证域名的存在以及发布者在市场上至少六个月的良好信誉。

提示

如果您想强制限制组织中允许使用的扩展，请查阅如何在 VS Code 中配置允许的扩展。

Visual Studio Marketplace 采用多种机制来保护您免受恶意扩展的侵害

恶意软件扫描：市场会对发布的每个扩展包进行恶意软件扫描，以确保其安全性。此扫描使用多种反病毒引擎，对每个新扩展和每个扩展更新都会运行。除非扫描完全清除，否则扩展不会在市场上公开发布。
动态检测：市场通过在沙箱环境 (洁净室 VM) 中运行扩展来验证其运行时行为，从而进行动态检测。
已验证发布者：发布者可以通过证明拥有域名来验证其身份（蓝色对勾）。这表明发布者已向市场证明其拥有域名。它还表明市场已验证域名的存在以及发布者在市场上至少六个月的良好信誉。
异常使用监控：市场会监控扩展的下载量和使用模式，以检测异常行为。
名称抢注：市场阻止扩展作者盗用官方发布者的名称（例如 Microsoft 或 RedHat）以及热门扩展（例如 GitHub Copilot）的名称。
阻止列表：如果报告并验证了恶意扩展，或者在扩展依赖项中发现了漏洞，该扩展将被从市场中移除并添加到阻止列表。如果该扩展已安装，VS Code 会自动将其卸载。
扩展签名验证：Visual Studio Marketplace 在发布所有扩展时都会对其进行签名。当您安装扩展时，VS Code 会检查此签名以验证扩展包的完整性和来源。

如果您确实看到了看起来可疑的扩展，请将其报告给市场团队。市场团队将在一个工作日内提供初步答复。

报告扩展的步骤