扩展运行时安全

扩展极大地增强了 Visual Studio Code 的功能。它们也可能带来风险，例如恶意代码执行和数据隐私问题。Visual Studio Marketplace 有多种方式来保护您免受不良扩展的侵害。此外，VS Code 为您提供了判断扩展可靠性的多项指标。

本文档概述了 VS Code 中扩展的运行时权限以及保护您免受恶意扩展侵害的措施。您将了解如何在安装扩展之前，就其可靠性做出明智的决定。

关于扩展运行时权限

扩展宿主负责在 VS Code 中运行扩展。扩展宿主拥有与 VS Code 本身相同的权限。这意味着 VS Code 可以执行的任何操作，扩展也可以通过扩展宿主执行。

例如，扩展可以读取和写入您机器上的文件、发出网络请求、运行外部进程以及修改工作区设置。

扩展发布者信任

从 VS Code 1.97 版本开始，当您首次从第三方发布者安装扩展时，VS Code 会显示一个对话框，提示您确认您信任该扩展的发布者。

当您信任扩展包的发布者或依赖于其他扩展的扩展的发布者时，您也信任了这些依赖扩展的发布者。

您之前安装的扩展的发布者被视为受信任的，并会自动添加到受信任的发布者列表中。

您可以使用扩展：管理受信任的扩展发布者命令来管理受信任的扩展列表。

确定扩展可靠性

在安装扩展之前，您可以采取各种步骤来确定其是否可靠。Visual Studio Marketplace 为您提供有关扩展的信息，以帮助您做出明智的决定

• 评分和评论：阅读其他人对该扩展的看法。

• 问答：查看现有问题和发布者的响应级别。如果您有疑虑，也可以与扩展的发布者联系。

• 问题、存储库和许可证：检查发布者是否提供了这些信息，以及它们是否提供了您期望的支持。

• 已验证发布者：使用发布者名称和域名旁边的蓝色勾选标记作为额外的信任信号。该勾选标记表明发布者已向 Marketplace 证明了域名的所有权。它还表明 Marketplace 已验证了域名的存在以及发布者在 Marketplace 上至少六个月的良好信誉。

  

市场保护措施

Visual Studio Marketplace 采用了多种机制来保护您免受恶意扩展的侵害

• 恶意软件扫描：Marketplace 会对发布的每个扩展包进行恶意软件扫描，以确保其安全性。扫描使用多种防病毒引擎，对每个新扩展和每个扩展更新都会运行。在扫描结果完全清除之前，该扩展不会在 Marketplace 中公开发布。

• 动态检测：Marketplace 通过在沙盒环境（洁净室虚拟机）中运行扩展来验证其运行时行为，从而进行动态检测。

• 已验证发布者：发布者可以通过证明域名所有权来验证其身份（蓝色勾选标记）。这表明发布者已向 Marketplace 证明了域名的所有权。它还表明 Marketplace 已验证了域名的存在以及发布者在 Marketplace 上至少六个月的良好信誉。

• 异常使用监控：Marketplace 会监控扩展的下载和使用模式，以检测异常行为。

• 名称抢占：Marketplace 阻止扩展作者窃取官方发布者（如 Microsoft 或 RedHat）以及流行扩展（如 GitHub Copilot）的名称。

• 阻止列表：如果报告并验证了恶意扩展，或者在扩展依赖项中发现了漏洞，则该扩展将从 Marketplace 中删除并添加到阻止列表中。如果已安装该扩展，VS Code 将自动将其卸载。

• 扩展签名验证：Visual Studio Marketplace 会在所有扩展发布时对其进行签名。当您安装扩展时，VS Code 会检查此签名，以验证扩展包的完整性和来源。

在Visual Studio Marketplace 中的安全与信任博客文章中了解这些措施。

举报可疑扩展

如果您确实看到了可疑的扩展，请向 Marketplace 团队报告。Marketplace 团队将在一个工作日内提供初步答复。

举报扩展

1. 在 Visual Studio Marketplace 中打开扩展页面。

2. 选择扩展更多信息部分的底部链接报告问题。

相关资源

• 了解如何在 Visual Studio Code 中安装和管理扩展。

• 使用工作区信任来决定项目文件夹中的代码是否可以在未经明确批准的情况下由 VS Code 和扩展执行。这在处理不熟悉的代码时增加了额外的安全层。

• 配置VS Code 中允许的扩展，以强制规定组织中允许使用的扩展。