VSCode 如何配置 Secret Storage 防止密钥明文存储？

VSCode 本身不提供针对项目代码的“秘密存储”界面，而是依赖操作系统级的密钥库管理自身认证信息，对于项目内的敏感密钥，推荐通过环境变量文件配合版本控制忽略规则来隔离，或使用专用扩展接入外部密钥管理服务。

先说结论：VSCode 不直接管理项目密钥，需依靠系统凭据服务与配置文件规范共同防护。

先判断：区分是 VSCode 自身登录凭证还是项目代码所需的 API 密钥。
优先做：配置 .gitignore 忽略敏感文件，并设置正确的 SSH 密钥权限。
再验证：通过 Git 状态检查与连接测试确认密钥未泄露且可用。

命令速用版

以下是快速隔离敏感文件与修复权限的常用命令，直接在终端执行即可：

# 将 .env 和 .vscode 目录加入忽略列表
echo ".env" >> .gitignore
echo ".vscode/" >> .gitignore

# 修复 SSH 私钥权限（防止因权限过宽被拒绝）
chmod 600 ~/.ssh/id_ed25519

# 检查当前 Git 是否追踪了敏感文件
git status

为什么会这样

很多开发者误以为 VSCode 像密码管理器一样能加密存储项目密钥，但实际上 VSCode 只是一个编辑器。根据相关资料显示，VSCode 自身登录信息（如 GitHub 账号）是通过集成操作系统级密钥库（如 Windows 凭据管理器、macOS 钥匙串、Linux libsecret）来加密保存的，但这仅限于编辑器自身的认证。

对于项目代码中的密钥（如数据库密码、API Token），VSCode 默认不会主动加密存储。如果直接写在代码或配置文件中，一旦提交到公共仓库，就会造成明文泄露。因此，安全存储的责任主要在于开发者如何通过文件隔离和权限控制来配合编辑器使用。

分步处理

按照以下顺序配置，可以构建基础的密钥保护闭环：

1. 配置版本控制忽略规则
在项目根目录的 .gitignore 文件中，确保包含以下条目，防止敏感文件被纳入版本控制：

.env
.env.local
.vscode/
*.key
*.pem

2. 使用环境变量文件隔离密钥
创建 .env 文件存储密钥，并在代码中通过环境变量读取。在调试配置 launch.json 中，建议使用 envFile 字段引用，避免硬编码：

{
  "version": "0.2.0",
  "configurations": [
    {
      "name": "Launch App",
      "type": "node",
      "request": "launch",
      "program": "${workspaceFolder}/app.js",
      "envFile": "${workspaceFolder}/.env"
    }
  ]
}

3. 规范 SSH 密钥权限
如果使用 SSH 连接远程仓库或服务器，确保私钥文件权限设置为 600。权限过宽会导致 SSH 客户端拒绝读取，VSCode 也会连接失败：

chmod 600 ~/.ssh/id_ed25519

4. 安装安全扫描扩展
可安装如 Secret Scanner 或配置 ESLint 安全规则，在编辑时检测潜在的硬编码密钥风险，及时发出警告。

怎么验证是否生效

配置完成后，通过以下方式检查防护是否到位：

检查 Git 状态：执行 git status，确认 .env 或包含密钥的文件显示为“未追踪”（Untracked）状态，而非“待提交”。
测试 SSH 连接：在终端执行 ssh -T git@github.com 或对应主机，确认无需重复输入密码且无权限错误。
搜索敏感词：在 VSCode 全局搜索中尝试搜索关键词（如 password、secret），确认敏感文件未被索引或已排除。

常见坑

launch.json 硬编码：调试配置文件中容易顺手写入真实密钥，务必确保使用变量引用而非明文。
.env 文件误提交：即使配了 .gitignore，如果文件之前已被追踪，需执行 git rm `--cached` .env 从仓库历史中移除。
SSH 权限错误：私钥权限如果是 644 或 777，SSH 会报错“Permission denied”，VSCode 远程开发也会因此连不上。
同步设置泄露：开启 VSCode 设置同步时，注意检查是否同步了包含本地路径或敏感信息的配置文件。

参考来源

VSCode 秘密存储_敏感信息安全保存机制
VSCode 如何配置密钥和凭证管理_VSCode 密钥与凭证管理配置步骤
VSCode 密钥管理_安全存储与凭证保护机制
敏感文件暴露风险频发，VSCode 调试配置你真的设对了吗？-CSDN 博客
VSCode 中如何防止敏感文件被意外提交？99% 的开发者都忽略的 3 个配置细节