如何在package.json外引用令牌拉取私有组织仓库依赖

核心问题 #

你之前的错误是把GitHub Actions专属的${{ secrets.REPO_TOKEN }}语法用到了本地环境中，yarn无法识别这种变量格式，导致替换失败。下面分本地开发和**CI/CD（GitHub Actions）**两种场景给出正确方案：

本地开发环境 #

方案1：本地专属.npmrc（推荐） #

在项目根目录创建不提交到仓库的.npmrc文件，写入以下内容：

//npm.pkg.github.com/:_authToken=你的个人经典令牌
@目标组织名:registry=https://npm.pkg.github.com/

• 把你的个人经典令牌替换成你在个人账号生成的、带repo权限的令牌
• @目标组织名替换为私有依赖所属的组织（比如依赖是@my-org/utils，就写@my-org）

之后直接在package.json里按正常方式声明依赖：

"dependencies": {
  "@目标组织名/repo": "^1.0.0" // 替换为实际的包名和版本
}

运行yarn install即可正常拉取私有依赖。

方案2：使用本地环境变量（避免硬编码令牌） #

1. 先在终端导出环境变量：
   • Linux/macOS：export REPO_TOKEN=你的个人令牌
   • Windows（PowerShell）：$env:REPO_TOKEN="你的个人令牌"
2. 创建本地.npmrc文件：

//npm.pkg.github.com/:_authToken=${REPO_TOKEN}
@目标组织名:registry=https://npm.pkg.github.com/

3. 同样在package.json里正常声明依赖，运行yarn install即可。

GitHub Actions CI/CD环境 #

在你的工作流文件（比如.github/workflows/build.yml）中添加创建.npmrc的步骤，这里才可以用GitHub Secrets的语法：

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Setup Node.js
        uses: actions/setup-node@v4
        with:
          node-version: 20
      - name: Create .npmrc
        run: |
          echo "@目标组织名:registry=https://npm.pkg.github.com/" >> .npmrc
          echo "//npm.pkg.github.com/:_authToken=${{ secrets.REPO_TOKEN }}" >> .npmrc
      - name: Install dependencies
        run: yarn install

• 确保你已经在当前仓库的Settings > Secrets and variables > Actions > Repository secrets中添加了名为REPO_TOKEN的密钥（值为你的个人令牌）
• package.json里的依赖写法和本地一致，无需带git链接

注意事项 #

• 本地的.npmrc和.env文件一定要加入.gitignore，避免泄露令牌
• 个人令牌只需要授予repo权限即可，不要给不必要的权限，降低风险

内容的提问来源于stack exchange，提问作者GʀᴜᴍᴘʏCᴀᴛ