ESLint、SonarLint、CodeWhisperer 和 Snyk Security 是 VSCode 中真正提升代码安全的四大扩展，分别通过插件增强规则、本地SAST扫描、实时编码风险拦截及依赖漏洞检测来防范硬编码密钥、注入攻击等真实风险。
ESLint、SonarLint、Amazon CodeWhisperer 和 Snyk Security 是当前在 VSCode 中真正能增强代码安全的扩展，不是“锦上添花”，而是能在写代码时就拦住硬编码密钥、过时依赖、不安全 API 调用等真实风险。
用 ESLint 拦住常见安全反模式
ESLint 本身不带安全规则，但配合 @eslint-community/eslint-plugin-security 或 eslint-plugin-security-node 插件，就能检测 eval()、child_process.exec()、未校验的用户输入拼接 SQL 等高危写法。
常见错误现象：代码通过了本地测试，上线后被注入攻击或执行任意命令。
实操建议：
- 在项目中安装插件：npm install --save-dev eslint-plugin-security-node
- 在 .eslintrc.js 中加入："plugin:security-node/recommended"
- 启用 eslint.enable 并确保 eslint.run 设为 onType 或 onSave
注意：默认规则不会报 process.env.PASSWORD 这类硬编码——得靠 eslint-plugin-security 的 detect-object-injection 或自定义正则规则补上。
用 SonarLint 做轻量级 SAST 扫描
SonarLint 是本地运行的静态分析工具，直接集成 SonarSource 的规则库，能识别 CWE-79（XSS）、CWE-89（SQLi）、硬编码凭证等 200+ 种漏洞模式，且不上传代码。
使用场景：单人开发或 CI 前快速自查，尤其适合处理表单、API 层、模板渲染逻辑。
实操建议：
- 安装扩展后，它会自动扫描打开的文件；若需全项目扫描，右键文件夹选 Scan Folder with SonarLint
- 关键配置项：sonarlint.rules 可手动启用 javascript:S1144（避免使用 innerHTML）或 javascript:S2068（检测硬编码密码）
- 避免踩坑：它默认不扫描 node_modules，但若你误把密钥写在 config/dev.js 里，而该文件没被 .gitignore 排除，就会漏检——务必确认扫描路径包含敏感配置目录。
用 CodeWhisperer 实时拦截敏感操作
Amazon CodeWhisperer 不是传统扫描器，而是在你敲代码时就预警风险。比如输入 fs.readFile(process.env.SECRET_PATH)，它会在建议栏底部标出 “⚠️ Potential path traversal”；写 fetch('https://api.example.com?token=' + token) 会提示 “Use authorization header instead”。
为什么这样做：它基于 AWS 内部威胁模型训练，对云环境常见误用（如 IAM 权限宽泛、S3 ACL 公开、KMS 密钥未加密）有强感知。
实操建议：
- 必须开启 codeWhisperer.securityScanOnSave，否则只做补全，不扫描
- 登录 AWS 账户后，它会自动识别项目是否含 serverless.yml 或 cdk.json，并激活对应云安全规则
- 注意兼容性：对 TypeScript 泛型推导支持弱，fetch 可能导致误报；建议搭配 JSDoc 注释强化上下文。
别忽略权限控制本身才是第一道安全防线
很多“安全扩展”自己反而成了风险源——比如某 JSON Schema 校验插件请求access to all file paths，却只用来读取 schema.json。
实操建议：
- 安装前必看扩展详情页的 Permissions 区域，拒绝含 terminal、workspaceConfiguration、allFileAccess 的非必要授权
- 强制启用签名验证：{"extensions.experimental.verifiedRequired": true} 写入 argv.json，重启后仅允许微软认证发布者（Verified Publisher）的插件安装
- 对已安装插件，定期执行 Extensions: Show Installed Extensions，过滤出半年未更新、评分低于 4.2、下载量少于 50 万的扩展，手动禁用
真正起作用的安全不是装得越多越好，而是让每个扩展都待在它该待的权限边界里，且它的输出能被你理解、质疑和覆盖。比如 SonarLint 报 CWE-79，你要知道它为什么认为这段 innerHTML 不安全；CodeWhisperer 拦截了某个 curl 调用，你要判断它是不是真该用 fetch 替代。工具不替你思考，只帮你更快地发现问题所在。
