如何为VS Code扩展实现基于Azure AD的登录跳转与信息回传

步骤1：为VS Code扩展注册自定义URI协议 #

在扩展的package.json中添加激活事件和URI协议配置，声明专属的唤起协议（比如vscode-myext）：

{
  "activationEvents": [
    "onUri:vscode-myext"
  ],
  "contributes": {
    "uriHandlers": [
      {
        "scheme": "vscode-myext"
      }
    ]
  }
}

步骤2：修改Web端登录成功后的跳转逻辑 #

当Web端检测到请求带有source=vscode参数时，登录完成后不再跳转到原有Web页面，而是构造自定义协议URI，携带编码后的用户信息（如用户ID、昵称、必要的凭证字段）跳转：

// 登录成功后判断请求来源
const urlParams = new URLSearchParams(window.location.search);
const isFromVSCode = urlParams.get('source') === 'vscode';

if (isFromVSCode) {
  // 从MSAL实例获取已登录用户信息
  const activeAccount = msalInstance.getActiveAccount();
  const userData = encodeURIComponent(JSON.stringify({
    userId: activeAccount.localAccountId,
    userName: activeAccount.name,
    idToken: activeAccount.idToken // 若需传递凭证，建议加密或仅传必要片段
  }));
  // 跳转至自定义协议唤起VS Code扩展
  window.location.href = `vscode-myext://login-callback?data=${userData}`;
} else {
  // 原有Web端登录后的跳转逻辑
  window.location.href = '/App';
}

步骤3：在VS Code扩展中监听回调并处理用户信息 #

在扩展激活时注册URI处理器，解析回调参数并同步登录状态：

import * as vscode from 'vscode';

export function activate(context: vscode.ExtensionContext) {
  // 注册自定义协议回调处理器
  const uriHandler = vscode.window.registerUriHandler({
    handleUri(uri: vscode.Uri) {
      if (uri.path === '/login-callback') {
        // 解析并解码用户信息
        const userDataStr = uri.query.split('=')[1];
        if (userDataStr) {
          const userInfo = JSON.parse(decodeURIComponent(userDataStr));
          // 将用户信息存储到扩展全局状态，用于后续业务逻辑
          context.globalState.update('currentUser', userInfo);
          // 提示用户登录成功
          vscode.window.showInformationMessage(`登录成功，欢迎 ${userInfo.userName}`);
        }
      }
    }
  });

  // 登录按钮绑定的命令逻辑：打开Web登录页
  const loginCmd = vscode.commands.registerCommand('your-ext.login', () => {
    const loginUrl = 'https://url.net/?source=vscode';
    vscode.env.openExternal(vscode.Uri.parse(loginUrl));
  });

  context.subscriptions.push(loginCmd, uriHandler);
}

关键安全注意事项 #

• 避免在URL参数中传递高敏感信息，若必须传递凭证，建议先做加密处理，或后续由扩展通过用户标识向后端换取临时授权凭证。
• 验证回调请求的合法性，比如添加签名校验逻辑，防止恶意构造URI调用扩展。
• 控制传递的参数大小，避免超出浏览器URI长度限制。

内容的提问来源于stack exchange，提问作者Karan S