こんにちは！開発現場を渡り歩く先輩エンジニアです。
これからプログラミングや新しいプロジェクトに挑戦するあなたへ、毎日のコーディングが劇的に楽しく、そして安全になるための必須知識をお伝えしますね。
私たちが普段何気なく使っている「VS Code（Visual Studio Code）」。実はこれ、単なるメモ帳の化け物ではなく、膨大なコードを実行し、あなたのPCの奥深くまでアクセスできる超強力なエンジンのようなものです。
だからこそ、今日お話しする「ワークスペース信頼（Workspace Trust）」という機能を理解しておくことが、安全なエンジニアライフの第一歩になります。これをマスターすれば、ネットの海から拾ってきた怪しいコードや、見知らぬリポジトリを安全に検証できるようになりますよ。さあ、一緒にその仕組みと設定を紐解いていきましょう！
—
1. なぜ「ワークスペース信頼」があなたのPCを守るのか？
突然ですが、想像してみてください。
あなたが街で見知らぬ人から「このUSBメモリの中にあるプログラム、面白いからちょっと開いてみてよ」と言われたら、どうしますか？ きっと「ウイルスが入っているかもしれない」と警戒して、すぐには開きませんよね。
実は、プログラミングの世界でも同じことが言えます。
GitHubなどのオープンソースリポジトリからプロジェクトをダウンロードしてVS Codeで開いた瞬間、その中に入っている拡張機能（プラグイン）や設定ファイル（`.vscode/settings.json` など）が自動的に実行される仕組みになっています。
ここで恐ろしいのが、悪意あるプロジェクトが「自動実行スクリプト」を仕込んでいた場合です。プロジェクトを開いただけで、あなたのパソコン内の秘密情報（APIキーやパスワードなど）が外部に送信されたり、勝手に怪しいプログラムがバックグラウンドで動いたりするリスクがあります。
ワークスペース信頼（Workspace Trust）の本質
このリスクを根本から断つためにVS Codeに実装されたのが「ワークスペース信頼」です。
- 制限モード（Restricted Mode）: 信頼されていないフォルダを開いたとき、セキュリティのために自動コード実行や一部の強力な拡張機能を強制停止します。コードの「閲覧」や「安全な編集」はできますが、危険な権限は剥奪されます。
- 信頼されたモード（Trusted）: あなたが「このプロジェクトは安全だ」と判断したフォルダでのみ、すべての拡張機能や自動タスクの実行を許可します。
つまり、「どこから手に入れたかわからないコードでも、まずは安全に中身を覗き見して、安全性を確認してからフル機能で動かす」という、現代のエンジニアに必須の防護壁なのです。
—
2. VS Codeのインストールと「最初に行うべき」基本セットアップ
まずは、VS Codeをまだ導入していない、あるいは入れたばかりという方向けに、最もクリーンで安全な初期セットアップのステップを確認しておきましょう。
インストール（概要）
最初に確認しておきたい「信頼設定」のデフォルト挙動
VS Codeをインストールした直後、設定画面（`Ctrl + ,` または `Cmd + ,`）を開き、検索窓に `trust` と入力してみてください。
すると、以下のような設定項目が見つかります。
{
// 未知のフォルダを開いたときに「制限モード」で起動するかどうかを制御します
// “on” に設定しておくと、確認ダイアログが出る前に勝手にコードが実行されるのを防げます
“security.workspace.trust.untrustedFiles”: “open”
}
この設定により、不審なファイルをうっかりダブルクリックして開いた際にも、VS Codeが「おっと、このフォルダはまだ信頼されていませんよ」と黄色い警告バナーを出して守ってくれるようになります。
—
3. 精度高い「HelloWorld」で信頼機能の動作を体験しよう
百聞は一見に如かず。実際にワークスペース信頼がどのように働くのか、簡単な「HelloWorld」プロジェクトを作って実験してみましょう。
ステップ1: テスト用フォルダの作成
デスクトップなどに `my-test-project` という名前のフォルダを新しく一つ作成してください。そして、その中に `app.js` というファイルを作り、以下のコードを書き込みます。
// これは安全な通常のJavaScriptコードです
// 画面に挨拶を出力します
const message = “Hello, Workspace Trust World!”;
console.log(message);
ステップ2: あえて「制限モード」で開いてみる
VS Codeを起動し、先ほど作成した `my-test-project` フォルダをドラッグ＆ドロップして開いてみてください。
もし、あなたがそのフォルダを「信頼する」設定をまだしていない場合、VS Codeのウィンドウの上部に、次のような黄色い警告バナーが表示されます。
> 「このフォルダ内のファイルの著者たちを信頼しますか？」
> `[いいえ、著者を確認していません (制限モード)]` `[はい、信頼します]`
ここで、あえて [いいえ、著者を確認していません (制限モード)] を選択してみてください。
ステップ3: 制限モードでの挙動を確認する
制限モードになると、何が制限されるのでしょうか？
画面左側の拡張機能アイコン（四角いブロックのアイコン）を見てみてください。例えば、コードを自動整形してくれる便利な拡張機能や、デバッグ用の拡張機能が、このワークスペース内では一時的に無効化（グレーアウト）されていることがわかります。
また、もしプロジェクト内に「このコードを開いた瞬間に自動でビルドスクリプトを実行する」ような設定（`.vscode/tasks.json`）が含まれていた場合、それらも完全にブロックされます。
これにより、「コードを読むことはできるが、バックグラウンドでの危険な自動実行は完全に防がれている状態」を作り出すことができるのです。
—
4. 現場で役立つ！安全な運用プラクティス
実際の開発現場では、毎日何十ものオープンソースリポジトリや、クライアントから受け取ったプロジェクトフォルダを開き直します。ここで、現場のプロが実践しているスマートな運用ルールをいくつか授けましょう。
① 親ディレクトリ単位での信頼に注意する
「自分のホームディレクトリ（`C:\Users\Yamada` や `/Users/yamada`）」全体をVS Codeで開いてしまったことはありませんか？
これをやってしまうと、その中にある過去にダウンロードした怪しいプロジェクトや、テスト用の適当なフォルダすべてが「信頼された状態」になってしまいます。
原則： プロジェクトのルートフォルダ（`package.json` や `.git` がある階層）単位で開き、ユーザーフォルダやデスクトップ全体を直接VS Codeのワークスペースとして開かないようにしましょう。
② 特定の拡張機能だけを信頼モードで制御する
「この重い拡張機能は、特定の自社開発プロジェクトだけで動いてほしい……」といった細かい制御も可能です。VS Codeのグローバル設定（`settings.json`）に以下のように記述することで、環境ごとの挙動を最適化できます。
{
// ワークスペースが信頼されていない場合に、特定の拡張機能を強制的に無効化する例
// セキュリティとパフォーマンスを同時に高める高度な設定です
“security.workspace.trust.enabled”: true
}
—
まとめ：安全な環境こそが、最高のコードを生み出す
今回は、VS Codeの「ワークスペース信頼」という、一見地味ながらも極めて重要なセキュリティ機能について解説しました。
- 知らないプロジェクトはまず「制限モード」で開く
- コードを安全に確認してから「信頼」を与える
- PC全体ではなく、プロジェクト単位でフォルダを管理する
この小さな習慣を身につけるだけで、サイバーリスクからあなたの大切な開発環境を守ることができます。「これをマスターすれば、どんなリポジトリを開くときも怖くない！」という安心感を持って、日々のコーディングに臨んでくださいね。
あなたのエンジニアライフが、安全で、知的で、最高にワクワクするものになりますように。それでは、次の解説でお会いしましょう！