如何通过浏览器SSO认证VSCode扩展以向服务端API发送POST请求

以下方案全程不绕过现有MFA认证流程，仅做合法会话复用，适配Windows 8环境，且不需要服务端修改权限。

优先方案：内置Webview完成认证与请求发送 #

这个方案完全匹配已验证的「浏览器多窗口共享登录态发AJAX请求」逻辑，不需要手动同步任何认证凭证，兼容性最好：

• 实现步骤：
  1. 扩展触发认证流程时，创建一个可交互的VSCode Webview面板，配置enableScripts: true权限，直接在Webview中加载企业SSO的登录入口地址，引导用户在面板内完成硬件令牌验证、走完所有重定向流程。Webview基于Electron内置的Chromium内核，会自动维护完整的会话Cookie、登录令牌，行为和普通浏览器窗口完全一致。
  2. 在Webview中注入轻量检测脚本，轮询判断当前页面是否已完成登录（比如检测当前URL是否跳转至业务域、或调用业务域的心跳接口返回已登录状态），确认认证完成后通过webview.postMessage向扩展主进程发送认证成功通知，之后可以把Webview面板隐藏（不要销毁，销毁会清空当前会话）。
  3. 后续提交编辑器内容时，不要在Node.js扩展主进程里用axios/node-fetch这类库发请求——这类请求走Node运行时，不会自动携带Webview内的认证凭证。你需要把POST请求的逻辑封装在Webview注入的脚本里，主进程把待提交的编辑器内容通过消息发送给隐藏的Webview，由Webview内的JS发起带凭证的AJAX请求，请求完成后再把响应结果回传给主进程即可。
• 注意点：如果遇到硬件令牌WebAuthn/控件不兼容的问题（极个别老版本企业SSO控件只适配IE），再切换到备选方案。

备选方案：外部浏览器认证+本地临时服务同步会话 #

如果内置Webview无法兼容企业的硬件令牌认证控件，可以用这个方案解决外部浏览器登录态同步的问题，全程不需要读取浏览器加密存储的Cookie，不会触发终端安全告警：

• 实现步骤：
  1. 扩展启动时在本地回环地址（127.0.0.1）随机监听一个未被占用的高位端口，启动临时HTTP服务，仅用于接收认证凭证，不对外暴露。
  2. 调用系统默认浏览器打开企业SSO登录地址，引导用户在外部浏览器中正常完成MFA登录。
  3. 向用户提供一段压缩后的书签小工具（Bookmarklet）代码，用户首次使用时将其拖到浏览器书签栏即可。完成登录后用户点一下这个书签，书签内的JS会自动把当前业务域下的认证Cookie通过POST请求发送到本地临时监听的端口，扩展拿到Cookie后存在运行时内存中，即可在后续发POST请求时携带这些凭证。
• 注意点：Cookie只存在于扩展运行内存中，VSCode窗口关闭后自动清空，满足会话级复用的要求；不需要做本地磁盘持久化，避免违反企业数据安全规定。

通用避坑提示 #

• 不要尝试破解、导出系统浏览器的加密Cookie存储，不要尝试绕过MFA流程，这类操作会直接触发企业终端安全软件的告警，违反合规要求。
• 发POST请求时尽量对齐普通浏览器的请求头字段，比如匹配对应Chromium版本的User-Agent、带上正确的Origin和Referer字段，避免被业务域的WAF判定为异常流量拦截。
• 内置Webview方案天然不存在跨域问题，只要认证流程在Webview内完成，Webview内发起的同域AJAX请求不会触发CORS限制，比Node层发请求的兼容性高很多。

内容的提问来源于stack exchange，提问作者Alex Kerr