$where
если онлайн не нужен для бизнес-логики, то подвязывать авторизацию на плагины там - такое себе решение, которое не защитит, но доставит боль конечном пользователям.
Это точно проще, чем пропатчить байткод?)
Что можно поставить в VS Code и чего нельзя - не буду комментировать т.к. не использую этот редактор и просто не знаю.