配置npm访问SSL认证私有Nexus仓库遇证书及权限问题求助

我们公司有一个由Nexus管理的、通过SSL证书加密的私有npm仓库。可以通过浏览器访问，也能使用个人证书通过curl命令正常获取包内容（证书有效性已验证）：

curl -vvv https://example.com/repository/group/example-package --cert my.crt --key my.key

但执行npm install命令时出现错误，执行命令：

npm i example-package --registry https://example.com/repository/group/ --certfile=my.crt --keyfile=my.key --verbose --strict-ssl=true

报错信息为errno UNABLE_TO_GET_ISSUER_CERT_LOCALLY。尝试设置strict-ssl=false后，又出现401未授权错误：

npm http fetch GET 401  https://example.com/repository/group/example-package 318ms (cache skip)
...
npm ERR! code E401
npm ERR! 401 Unauthorized 

已尝试--cafile、--certfile、--keyfile等参数的所有组合，结果始终一致，请问遗漏了什么配置？

排查与解决思路 #

1. 补全证书链解决SSL信任问题 #

UNABLE_TO_GET_ISSUER_CERT_LOCALLY错误的核心是npm无法追溯到证书的签发根CA。curl能正常访问是因为系统信任链已包含根证书，但npm默认不会自动读取系统信任存储。

• 将私有仓库的完整证书链（根CA证书、中间CA证书、服务器证书）合并到同一个PEM文件中（比如full-chain.crt）。
• 执行命令时指定完整证书链：

  npm i example-package --registry https://example.com/repository/group/ --certfile=my.crt --keyfile=my.key --cafile=full-chain.crt --verbose --strict-ssl=true
  

2. 确认证书格式为PEM #

npm仅支持PEM格式的客户端证书和密钥，若你的证书是DER等其他格式，需先转换：

# 转换证书为PEM格式
openssl x509 -inform der -in my.crt -out my.pem
# 转换密钥为PEM格式
openssl rsa -inform der -in my.key -out my-key.pem

之后使用转换后的.pem文件作为命令参数。

3. 写入npm全局配置避免参数冲突 #

临时命令行参数可能存在优先级覆盖问题，建议将配置写入npm全局配置：

npm config set registry https://example.com/repository/group/
npm config set cafile /绝对路径/to/full-chain.crt
npm config set certfile /绝对路径/to/my.crt
npm config set keyfile /绝对路径/to/my.key
npm config set strict-ssl true

配置完成后直接执行npm i example-package测试。

4. 检查Nexus的客户端证书认证配置 #

401错误说明客户端证书未被Nexus认可：

• 确认Nexus仓库已启用客户端证书认证，且你的个人证书已被添加到Nexus的信任存储中。
• 检查Nexus的仓库权限规则，确保证书对应的身份拥有目标包的读取权限。

5. 验证证书与密钥的匹配性 #

确保my.crt和my.key是成对生成的，执行以下命令验证：

openssl x509 -noout -modulus -in my.crt | openssl md5
openssl rsa -noout -modulus -in my.key | openssl md5

两个命令输出的MD5值必须完全一致，否则说明证书与密钥不匹配，需重新获取正确的证书文件。

内容的提问来源于stack exchange，提问作者l2ysho