Nexus npm代理仓库路由规则配置：如何精准管控允许的包？

核心逻辑 #

npm安装包时会发起两类关键请求：

• 元数据请求：https://registry.npmjs.org/<包名>，用于获取包的全版本信息列表
• 包文件请求：https://registry.npmjs.org/<包名>/-/<包名>-<版本>.tgz，用于下载指定版本的包文件

要严格允许zone.js的0.13.x版本安装，需同时匹配这两类请求——既要允许获取元数据，又要仅放行指定版本的包文件下载。

可行配置方案 #

方案1：分两条路由规则配置 #

在Nexus对应的npm代理仓库的「Routes」配置中添加以下规则：

1. 允许元数据请求

   • 规则名称：allow-zone-js-metadata
   • 匹配模式：.*\/zone.js$
   • 模式：Allow
   • 作用：精准匹配不带后续路径的元数据请求（如https://registry.npmjs.org/zone.js）

2. 允许指定版本的包文件请求

   • 规则名称：allow-zone-js-0.13-tgz
   • 匹配模式：.*\/zone.js-0\.13\..*\.tgz$
   • 模式：Allow
   • 作用：仅匹配0.13.x版本的包文件请求（如https://registry.npmjs.org/zone.js/-/zone.js-0.13.3.tgz）

方案2：单正则覆盖两类请求 #

如果想简化配置，可用一个正则同时匹配元数据和指定版本的包文件请求：

• 规则名称：allow-zone-js-0.13-all
• 匹配模式：.*\/zone.js($|\/-\/zone.js-0\.13\..*\.tgz$)
• 模式：Allow

这个正则的逻辑是：要么路径以/zone.js结尾（元数据请求），要么路径以/zone.js/-/zone.js-0.13.x.tgz结尾（指定版本的包文件请求）。

配置注意事项 #

• 规则顺序：确保允许规则排在全局拒绝规则之前（Nexus按顺序匹配，第一条匹配的规则生效）
• 正则转义：版本号中的.要转义为\.，避免被正则识别为任意字符
• 验证测试：
  • 执行npm i zone.js@0.13.3，确认能正常安装
  • 尝试npm i zone.js@0.14.0，确认因包文件请求被拒绝而安装失败

原规则失效原因 #

• 使用.*\/zone.js-0.13.*时，仅能匹配带版本的包文件请求，无法匹配元数据请求，导致npm无法获取版本信息，安装失败
• 使用.*\/zone.js.*时，会匹配所有与zone.js相关的请求（包括其他版本的包文件），无法实现严格的版本控制

内容的提问来源于stack exchange，提问作者edd