2024-10-18 - 等微软作为太迟：主动防御 VS Code 恶意扩展

笔者之前说过，自己也是 VS Code 的重度使用者。所以对于 VS Code 恶意扩展这种事情就尤其关注。具体前因在笔者这篇文章：《微软不作为：VS Code 恶意扩展层出不穷》

在写前文的同时，笔者尝试了 ExtensionTotal 这个 VS Code 恶意扩展的检测扩展（服务），还算是当前条件下防御 VS Code 恶意扩展比较有效的方法。

而且，即使微软跟得上社区呼声，对 VS Code 进行基于安全的权限设计改造（即实现了被动防御），用户也依然有必要具备 VS Code 恶意扩展的主动防御工具，防御覆盖面才足够完整。

ExtensionTotal 本身也是 VS Code 的扩展，可以直接搜索出来安装：

图1 ExtensionTotal 扩展介绍页

ExtensionTotal 扩展只是前端，对用户已经安装的 VS Code 扩展的扫描还需要依赖于 ExtensionTotal 的后端服务。