VSCode中真正起效的只读配置只有files.readonlyInclude（1.80+版本）或系统权限修改；旧版不支持、配置层级被覆盖、未重启窗口、glob路径错误均会导致设置失效。

开门见山地说，VSCode里并没有一个能一键锁定文件的“只读开关”。真正能起到防护作用的，只有两条路：要么直接修改文件系统的权限（彻底锁死），要么正确配置files.readonlyInclude（在编辑器层面拦截保存操作）。至于网上流传的其他“只读模式”设置方法，多半已经过时、无效，甚至存在误导。

为什么改了 settings.json 还能保存成功？

遇到配置“失灵”，别急着怀疑自己。最常见的原因，其实是VSCode压根就没触发只读逻辑：

• 首先得看版本。files.readonlyInclude这个配置项，是VSCode 1.80及以上版本才正式支持的。如果你用的是1.79或更早的旧版，它根本不认这个配置。很多教程里提到的files.readonly早已被弃用，照着配自然没用。
• 配置写对了地方吗？如果你把配置写在了用户级的settings.json里，但项目工作区（.vscode/settings.json）里存在同名的配置项，后者会直接覆盖前者。
• 还有一个容易忽略的细节：修改配置时，如果目标文件已经在编辑器里打开了，那么改完配置后必须关闭并重新打开这个文件，或者直接重启整个VSCode窗口。因为VSCode不会动态重新加载文件的只读状态。
• 最后，检查一下路径通配符（glob）有没有写错。比如，想匹配所有node_modules文件夹，却只写了"node_modules/**"，漏掉了开头的**/，这样就无法匹配到项目根目录下的node_modules。

files.readonlyInclude 怎么配才真正拦截保存？

这是目前最实用、也最推荐的方法。它跨平台，不影响你在命令行里的操作，核心目的就是防止误保存（注意，是防保存，不是防编辑）：

• 配置必须写在项目根目录下的.vscode/settings.json文件里。举个例子：

  "files.readonlyInclude": {
    "**/package-lock.json": true,
    "**/yarn.lock": true,
    "**/node_modules/**": true,
    "**/.env*": true
  }

• 这里有个关键点：双星号**表示递归匹配所有层级的子目录，而单星号*只匹配当前层级。用错了，防护范围就会大打折扣。
• 匹配的路径是相对于工作区根目录的，既不是绝对路径，也不是相对于你的用户主目录。
• 配置生效后，当你尝试按Ctrl+S保存时，会直接弹出一个Cannot sa ve... File is read-only的错误提示。不过别担心，你依然可以在文件里输入、删除、复制内容——它只拦截保存动作，并不限制编辑。

怎么让文件“真的不能改”？靠操作系统权限

编辑器层面的防护终究有办法绕过（比如另存为，或者用外部命令写入）。如果真想“锁死”文件，必须动用操作系统本身的权限机制：

• Windows系统：右键点击文件 → 选择“属性” → 勾选“只读”选项 → 点击确定。需要注意的是，对文件夹设置只读属性，通常只影响后续在该文件夹内新建的文件，对已有的子文件可能不起作用。
• macOS/Linux系统：在终端执行命令chmod 444 文件名（注意是444，代表只读；644仍然可写）。特别提醒：不要对整个node_modules目录递归执行chmod -R 444，这会破坏npm、yarn或pnpm的正常运行。
• 对于Git仓库里的文件，虽然它们默认是受版本控制的，但VSCode并不依据Git状态来判断文件是否可写，它只认操作系统fs.access()返回的权限。所以，即便你执行了git pull，可能仍需手动设置权限，或者依赖files.readonlyInclude配置。
• 当VSCode检测到文件具有系统级的只读权限后，会在编辑器右下角显示Read-only标识，并禁用Ctrl+S保存。但是，“文件(File) → 另存为(Sa ve As)”这个选项依然可用——因为这是创建一个新文件，并不违反原文件的权限设定。

哪些操作会绕过只读防护？

不要把任何只读设置想象得过于绝对。下面这些操作，都能轻易突破防线：

• 使用命令行直接覆盖：比如执行echo "xxx" > config.json，VSCode对此完全不知情。
• 某些插件的自动保存功能：一些Auto Sa ve类的插件可能会忽略编辑器的只读状态，强行将内容写入文件。
• Remote - SSH远程开发场景：此时只读判断发生在远程服务器端，你本地的files.readonlyInclude配置是无效的。
• 通过“另存为”覆盖原文件：使用File → Sa ve As，并保存为同名文件。在Windows上可能会触发系统确认覆盖的对话框，但在macOS或Linux上，默认可能就是静默覆盖。

所以说，最稳妥的方案其实是组合拳：针对大多数需要防护的文件，使用files.readonlyInclude；对于极少数至关重要的核心配置文件，可以额外加上系统级的只读属性。最后，再配合.gitignore的合理使用以及提交代码前的检查习惯，才能最大限度地覆盖各种意外修改的场景。请务必记住：VSCode的“只读”，本质上是一种“提示+拦截”机制，而非绝对的“锁死”。