如何用环境变量在GitLab CI中认证私有npm仓库

当前CI配置 #

npm:
  image: node
  variables:
    npm_config_cafile: $CI_SERVER_TLS_CA_FILE
    npm_config_registry: $CI_API_V4_URL/projects/$CI_PROJECT_ID/packages/npm/
  before_script: npm config set -- //$CI_SERVER_HOST/api/v4/projects/$CI_PROJECT_ID/packages/npm/:_authToken=$CI_JOB_TOKEN
  script: npm publish

需求 #

希望通过环境变量替代before_script中的npm config set命令，将认证配置放在项目/组的GitLab变量设置中，而非写入CI配置文件。

遇到的问题 #

• 已使用npm_config_前缀配置cafile和registry，但_authToken是针对特定私有仓库的配置项，找不到对应的直接环境变量键名。
• 无法直接在.npmrc文件中配置，因为该文件无法解析$CI_JOB_TOKEN这类CI预定义变量。
• 使用NPM_TOKEN环境变量时触发认证错误：

npm error code ENEEDAUTH
npm error need auth This command requires you to be logged in to https://my.gitlab.server.com/api/v4/projects/1234/packages/npm/
npm error need auth You need to authorize this machine using `npm adduser`

解决方案 #

方案1：直接在CI变量中定义仓库专属的认证环境变量 #

npm允许通过npm_config_<仓库配置键>的格式设置针对特定registry的配置，只需将仓库的认证配置键转换为环境变量格式，即可在CI的variables块中直接定义：

npm:
  image: node
  variables:
    npm_config_cafile: $CI_SERVER_TLS_CA_FILE
    npm_config_registry: $CI_API_V4_URL/projects/$CI_PROJECT_ID/packages/npm/
    # 针对目标私有仓库的_authToken环境变量
    npm_config_//${CI_SERVER_HOST}/api/v4/projects/${CI_PROJECT_ID}/packages/npm/:_authToken: $CI_JOB_TOKEN
  script: npm publish

GitLab CI会自动解析变量中的${CI_SERVER_HOST}和${CI_PROJECT_ID}，生成符合要求的npm配置环境变量，npm会自动识别该变量并应用到对应的私有仓库，无需额外执行npm config set命令。

方案2：通过CI脚本生成临时.npmrc文件 #

如果环境变量命名存在字符限制问题，可以在before_script中用echo命令动态生成.npmrc文件，CI会自动替换其中的预定义变量：

npm:
  image: node
  variables:
    npm_config_cafile: $CI_SERVER_TLS_CA_FILE
    npm_config_registry: $CI_API_V4_URL/projects/$CI_PROJECT_ID/packages/npm/
  before_script:
    # 动态生成包含认证令牌的.npmrc
    - echo "//${CI_SERVER_HOST}/api/v4/projects/${CI_PROJECT_ID}/packages/npm/:_authToken=${CI_JOB_TOKEN}" >> .npmrc
  script: npm publish

生成的临时.npmrc会被npm自动读取，既无需将敏感配置写入版本控制，也能正常使用CI预定义变量。

为什么NPM_TOKEN会报错？ #

NPM_TOKEN是npm为默认registry（通常为npmjs.org）提供的认证变量，不会自动应用到自定义的私有仓库地址。针对私有仓库，必须单独设置对应registry的_authToken配置，才能完成认证。

内容的提问来源于stack exchange，提问作者jeremywat