GitHub私有Bazel注册表认证问题求助

核心结论 #

Bazel注册表不需要必须公开，你碰到的问题不是注册表本身的限制，而是直接用raw.githubusercontent.com访问私有仓库内容时，Bazel默认没用到你的认证凭据，导致请求返回404。

问题原因 #

• 当你用--registry=https://raw.githubusercontent.com/my-org/bazel-registry/master/时，Bazel会直接请求该URL下的注册表核心文件（比如modules.json），但私有仓库的raw内容必须经过认证才能访问，而Bazel默认不会自动读取你的.netrc或GitHub凭据来发起这个请求，因此返回404，导致找不到模块。
• 手动检出本地后能正常使用，是因为本地文件无需认证；同GitHub空间的模块能通过.netrc拉取，是因为Bazel拉取模块源码的逻辑会读取.netrc，但访问注册表的逻辑和拉取模块的逻辑是分开的，前者默认没有走认证流程。

解决办法 #

1. 用本地注册表路径替代远程URL #

保持手动检出注册表到本地的方式，构建时直接指定本地路径：

bazel build ... --registry=./bazel-registry/

这种方式简单直接，适合本地开发场景。

2. 让Bazel访问私有raw URL时带上认证 #

你可以通过环境变量让Bazel使用GitHub个人访问令牌（PAT）来认证：

1. 生成一个GitHub PAT，权限勾选repo（用于访问私有仓库）。
2. 导出环境变量：

export GITHUB_TOKEN=你的PAT值

3. 修改注册表URL为带认证的形式（注意令牌泄露风险，仅限安全环境使用）：

bazel build ... --registry=https://${GITHUB_TOKEN}@raw.githubusercontent.com/my-org/bazel-registry/master/

3. 使用Git仓库作为注册表源 #

Bazel支持将Git仓库直接作为注册表源，这种方式会复用Git的认证机制（比如.netrc、SSH密钥），比raw URL更适配私有场景：

bazel build ... --registry=https://github.com/my-org/bazel-registry.git

或者用SSH协议更安全（前提是本地Git已配置好访问私有仓库的SSH密钥）：

bazel build ... --registry=git@github.com:my-org/bazel-registry.git

这种方式下Bazel会把整个注册表仓库克隆到本地缓存，后续构建会复用缓存，无需额外配置认证。

补充说明 #

Bazel的注册表系统设计完全支持私有场景，核心是要确保Bazel在访问注册表内容时能正确使用认证凭据。不同的注册表访问方式对应的认证逻辑不同，选择Git仓库作为源通常是私有场景下更省心的方案，因为它复用了成熟的Git认证体系。

内容的提问来源于stack exchange，提问作者Orcun Yeniay