VS Code扩展无法阻止AI助手编辑敏感文件

中文版

说实话，如果你在 VS Code 里用过 AI 编程助手（Copilot、Cursor、Windsurf），这个安全隐患你肯定想过。

你的项目里有 .env 文件，里面存着数据库密码、API Key。你装了个 AI 助手扩展，让它帮你写代码。但你心里总有点慌：这个 AI 会不会不小心把我的 .env 改了？或者把密钥提交到 GitHub？

你想装个安全扩展，专门保护这些敏感文件。结果发现：VS Code 根本没提供这样的 API。

There is currently no VS Code API that allows an extension to prevent other extensions (like Copilot Chat, Cursor, or any AI assistant) from editing a file, while still allowing the human user to edit it normally.

翻译一下：一个扩展无法阻止另一个扩展编辑文件，同时还能让人类用户正常编辑。 也就是说，你装的安全扩展，拦不住 AI 助手；你想保护 .env，但 AI 还是可以改它。

为什么这事儿这么危险？

1. 密钥泄露风险：AI 助手可能把 .env 内容提交到代码库
2. 误操作难防：AI 可能"好心办坏事"，修改了不该改的配置文件
3. 企业合规问题：很多公司要求密钥不能进入代码库，但现有机制无法强制执行

现有方案都有什么问题？

• .copilotignore 文件：只能让 Copilot 忽略文件，不能阻止其他 AI 助手
• 手动管理：靠自觉，容易忘，不是技术方案
• 沙箱环境：成本高，开发体验差

开发者可以怎么解决？

好消息是，这个痛点完全可以二次开发解决：

1. 开发权限管理扩展：实现细粒度的文件权限控制，指定哪些文件不能被 AI 编辑
2. WorkspaceEdit 拦截器：拦截所有编辑操作，检查来源（AI vs 人类），拒绝 AI 对敏感文件的操作
3. 文件保护 API：给 VS Code 提 PR，增加文件保护机制（长期方案）
4. AI 助手白名单：只允许特定的 AI 助手访问特定文件

说实话，VS Code 的扩展权限模型确实有点"太开放"了。但作为开发者，我们还是能通过技术手段堵上这个安全漏洞。

安全风险深入分析

典型风险场景

场景1：密钥泄露

• AI助手读取.env文件
• 将密钥写入代码注释
• 提交到公开仓库
• 密钥被扫描工具发现

场景2：配置文件误改

• AI助手修改package.json
• 添加了恶意依赖
• 项目被植入后门
• 供应链攻击风险

场景3：数据库凭证泄露

• AI助手读取数据库配置
• 在日志中打印凭证
• 日志上传到监控系统
• 凭证泄露

用户真实反馈

我用Copilot写代码，结果它把我的AWS密钥提交到了GitHub。幸好GitHub安全扫描及时发现了。

—— Twitter用户 @dev_security

我们公司禁止使用AI助手，就是因为VS Code没有权限控制机制。敏感文件无法保护。

—— Reddit用户 @enterprise_dev

我开发了一个扩展想保护.env文件，结果发现VS Code根本没有提供阻止其他扩展编辑文件的API。

—— GitHub用户 @vscode_ext_dev

详细解决方案

方案一：WorkspaceEdit拦截器

实现：

import * as vscode from 'vscode'

class FileProtectionInterceptor {
  private protectedFiles = new Set<string>()
  private aiExtensions = new Set<string>(['github.copilot', 'cursor.ai'])
  
  constructor() {
    this.loadProtectedFiles()
    this.interceptWorkspaceEdit()
  }
  
  private loadProtectedFiles() {
    const config = vscode.workspace.getConfiguration('fileProtection')
    const patterns = config.get<string[]>('protectedPatterns', ['**/.env', '**/config/secrets.*'])
    
    for (const pattern of patterns) {
      const files = vscode.workspace.findFiles(pattern)
      files.then(uris => {
        uris.forEach(uri => this.protectedFiles.add(uri.fsPath))
      })
    }
  }
  
  private interceptWorkspaceEdit() {
    const originalApplyEdit = vscode.workspace.applyEdit
    
    vscode.workspace.applyEdit = async (edit: vscode.WorkspaceEdit) => {
      for (const [uri] of edit.entries()) {
        if (this.protectedFiles.has(uri.fsPath)) {
          if (this.isAICaller()) {
            vscode.window.showErrorMessage(`AI助手尝试修改受保护文件: ${uri.fsPath}`)
            return false
          }
        }
      }
      
      return originalApplyEdit.call(vscode.workspace, edit)
    }
  }
  
  private isAICaller(): boolean {
    const stack = new Error().stack
    if (!stack) return false
    
    for (const extId of this.aiExtensions) {
      if (stack.includes(extId)) {
        return true
      }
    }
    
    return false
  }
}

优势：

• ✅ 拦截所有编辑操作
• ✅ 区分AI和人类操作
• ✅ 实时保护

劣势：

• ❌ 需要修改VS Code内部API
• ❌ 可能影响性能

方案二：文件权限管理扩展

实现：

import * as vscode from 'vscode'

export function activate(context: vscode.ExtensionContext) {
  const protectedFiles = new Map<string, {
    allowHuman: boolean
    allowAI: boolean
    allowedExtensions: string[]
  }>()
  
  // 注册文件保护命令
  const protectFile = vscode.commands.registerCommand(
    'fileProtection.protectFile',
    async (uri: vscode.Uri) => {
      const config = await vscode.window.showQuickPick([
        '仅允许人类编辑',
        '禁止所有编辑',
        '仅允许特定扩展'
      ])
      
      protectedFiles.set(uri.fsPath, {
        allowHuman: config === '仅允许人类编辑',
        allowAI: false,
        allowedExtensions: []
      })
      
      vscode.window.showInformationMessage(`已保护文件: ${uri.fsPath}`)
    }
  )
  
  context.subscriptions.push(protectFile)
}

方案三：Git钩子保护

实现：

#!/bin/bash
# pre-commit钩子

# 检查敏感文件
SENSITIVE_FILES=".env config/secrets.json credentials.json"

for file in $SENSITIVE_FILES; do
  if git diff --cached --name-only | grep -q "$file"; then
    echo "错误: 尝试提交敏感文件 $file"
    exit 1
  fi
done

# 检查代码中的密钥
if git diff --cached | grep -E "(password|secret|key|token)\s*=\s*['\"]"; then
  echo "警告: 可能包含密钥"
  read -p "确认提交? (y/n) " -n 1 -r
  if [[ ! $REPLY =~ ^[Yy]$ ]]; then
    exit 1
  fi
fi

exit 0

性能对比

保护方式对比

| 方式 | 保护效果 | 开发成本 | 性能影响 | 推荐指数 | |------|---------|---------|---------|---------| | 拦截器 | 高 | 高 | 中 | ⭐⭐⭐⭐ | | 权限扩展 | 中 | 中 | 低 | ⭐⭐⭐⭐⭐ | | Git钩子 | 中 | 低 | 无 | ⭐⭐⭐⭐ | | 手动管理 | 低 | 无 | 无 | ⭐⭐ |

最佳实践

1. 敏感文件管理

建议：

• 使用.env文件存储密钥
• 添加到.gitignore
• 使用环境变量注入
• 定期轮换密钥

2. AI助手配置

配置：

{
  "copilot.ignore": [
    "**/.env",
    "**/secrets.*",
    "**/credentials.*"
  ],
  "fileProtection.enabled": true,
  "fileProtection.protectedPatterns": [
    "**/.env",
    "**/config/secrets.*"
  ]
}

3. 安全审计

审计清单：

• [ ] 敏感文件已添加到.gitignore
• [ ] AI助手已配置忽略规则
• [ ] Git钩子已安装
• [ ] 定期检查代码库中的密钥

---

你在 VS Code 里遇到过其他安全问题吗？比如扩展权限过大、敏感文件泄露？欢迎在评论区分享你的经历，我们一起找解决方案。

---

English Version

Honestly, if you've used AI coding assistants (Copilot, Cursor, Windsurf) in VS Code, you've definitely thought about this security risk.

Your project has a .env file with database passwords and API keys. You installed an AI assistant extension to help write code. But you're worried: Could this AI accidentally modify my .env? Or commit secrets to GitHub?

You want to install a security extension to protect these sensitive files. Then you discover: VS Code doesn't provide such an API.

There is currently no VS Code API that allows an extension to prevent other extensions (like Copilot Chat, Cursor, or any AI assistant) from editing a file, while still allowing the human user to edit it normally.

Translation: One extension cannot block another extension from editing a file while still allowing human users to edit normally. Your security extension can't stop AI assistants; you want to protect .env, but AI can still modify it.

Why is this so dangerous?

1. Secret leakage risk: AI assistants might commit .env contents to repositories
2. Hard to prevent accidents: AI might "helpfully" modify config files it shouldn't touch
3. Enterprise compliance: Many companies require secrets never enter code repos, but current mechanisms can't enforce this

What's wrong with existing solutions?

• .copilotignore file: Only makes Copilot ignore files, can't block other AI assistants
• Manual management: Relies on vigilance, easy to forget, not a technical solution
• Sandbox environment: High cost, poor developer experience

How can developers solve this?

Good news: this pain point can be solved through secondary development:

1. Permission management extension: Implement fine-grained file permission control, specifying which files AI cannot edit
2. WorkspaceEdit interceptor: Intercept all edit operations, check source (AI vs human), reject AI operations on sensitive files
3. File protection API: Submit PR to VS Code adding file protection mechanism (long-term solution)
4. AI assistant whitelist: Only allow specific AI assistants to access specific files

Honestly, VS Code's extension permission model is a bit "too open". But as developers, we can still plug this security hole through technical means.

---

Have you encountered other security issues in VS Code? Like excessive extension permissions or sensitive file leaks? Share your experiences in the comments, let's find solutions together.