编辑

扩展运行时安全性

扩展极大地增强了 Visual Studio Code 的功能。它们也可能带来风险，例如恶意代码执行和数据隐私问题。Visual Studio Marketplace 提供了多种方法来保护您免受不良扩展的影响。此外，VS Code 还会为您提供一些扩展可靠性的指示。

本文概述了 VS Code 中扩展的运行时权限以及为保护您免受恶意扩展侵害而采取的措施。您将学习如何在安装扩展之前对扩展的可靠性做出明智的决定。

关于扩展运行时权限

扩展主机负责在 VS Code 中运行扩展。扩展主机拥有与 VS Code 本身相同的权限。这意味着 VS Code 可以执行的任何操作，扩展也可以通过扩展主机执行。

例如，扩展可以读取和写入您机器上的文件、发出网络请求、运行外部进程以及修改工作区设置。

扩展发布者信任

从 VS Code 1.97 版本开始，当您首次从第三方发布者安装扩展时，VS Code 会显示一个对话框，提示您确认信任该扩展的发布者。

当您信任扩展包的发布者或依赖于其他扩展的扩展时，您也信任了依赖扩展的发布者。

您之前安装的扩展的发布者被视为受信任，并会自动添加到受信任发布者列表中。

您可以使用“扩展：管理受信任的扩展发布者”命令来管理受信任扩展的列表。

重要

当您使用VS Code 命令行安装扩展时，扩展的发布者不会自动受信任。

确定扩展可靠性

在安装扩展之前，您可以采取各种步骤来确定它是否可靠。Visual Studio Marketplace 为您提供了有关扩展的信息，以帮助您做出明智的决定

评分和评论：阅读其他人对该扩展的看法。
问答：查看现有问题以及发布者的响应程度。如果您有疑虑，也可以与扩展的发布者互动。
问题、存储库和许可证：检查发布者是否提供了这些内容以及它们是否具有您期望的支持。
已验证发布者：使用发布者名称和域名旁边的蓝色勾号作为额外的信任信号。该勾号表示发布者已向 Marketplace 证明其域名所有权。它还表明 Marketplace 已验证域名是否存在以及发布者在 Marketplace 上良好信誉至少六个月。

提示

如果您想强制规定组织中允许使用的扩展，请查看如何在 VS Code 中配置允许的扩展。

Marketplace 保护

Visual Studio Marketplace 采用多种机制来保护您免受恶意扩展的侵害

恶意软件扫描：Marketplace 会对每个发布的扩展包运行恶意软件扫描，以确保其安全性。扫描使用多个防病毒引擎，对每个新扩展和每个扩展更新运行。在扫描完全清除之前，扩展不会在 Marketplace 中发布供公众使用。
动态检测：Marketplace 通过在沙盒环境（干净房间虚拟机）中运行扩展来验证其运行时行为，从而进行动态检测。
已验证发布者：发布者可以通过证明域名所有权来验证（蓝色勾号）其身份。它表明发布者已向 Marketplace 证明其域名所有权。它还表明 Marketplace 已验证域名是否存在以及发布者在 Marketplace 上良好信誉至少六个月。
异常使用监控：Marketplace 监控扩展的下载和使用模式，以检测异常行为。
名称抢占：Marketplace 阻止扩展作者窃取官方发布者（如 Microsoft 或 RedHat）和流行扩展（如 GitHub Copilot）的名称。
阻止列表：如果报告并验证了恶意扩展，或者在扩展依赖项中发现漏洞，则该扩展将从 Marketplace 中删除并添加到阻止列表。如果已安装该扩展，VS Code 将自动将其卸载。
扩展签名验证：Visual Studio Marketplace 在发布所有扩展时都会对其进行签名。当您安装扩展时，VS Code 会检查此签名，以验证扩展包的完整性和来源。
秘密扫描：Marketplace 会自动扫描每个新发布的扩展是否存在 API 密钥或凭据（例如，Azure DevOps PAT 令牌）等秘密。如果检测到任何秘密，则会阻止发布以防止潜在的安全风险。VSCE 工具在打包期间扫描.env文件，如果发现秘密则阻止发布。

在Visual Studio Marketplace 博客文章中的安全和信任中了解这些措施。

报告可疑扩展

如果您确实看到可疑的扩展，请向 Marketplace 团队报告。Marketplace 团队会在一个工作日内提供初步答复。

报告扩展

在Visual Studio Marketplace中打开扩展页面。
选择扩展“更多信息”部分底部的“报告问题”链接。