使用PAT访问Azure Feed下载NPM包时出现403认证错误求助

你使用具备Packaging读写权限的PAT访问Azure NPM Feed，此前正常，近期下载包时出现如下403错误：

npm ERR! code E403
npm ERR! 403 403 Server failed to authenticate the request. Make sure the value of Authorization header is formed correctly including the signature. - GET https://pyvvsblobprodsu6weus63.blob.core.windows.net/...&rscd=attachment%3B%20filename%3D%22worker-farm-1.7.0.tgz%22
npm ERR! 403 In most cases, you or one of your dependencies are requesting
npm ERR! 403 a package version that is forbidden by your security policy, or
npm ERR! 403 on a server you do not have access to.

已确认PAT有效、代理未拦截请求，以下是可能的原因：

• PAT权限范围不匹配：即使PAT状态显示有效，也可能存在权限范围偏差。比如你的PAT是项目级权限，但目标Feed属于组织级；或者PAT的Packaging权限仅授予了特定项目，当前访问的Feed不在该范围内。务必确认PAT包含Packaging (Read & Write)完整权限，而非仅读或其他受限权限。

• NPM认证配置格式错误：Azure Artifacts要求PAT需转换为Base64格式（执行命令：echo -n "任意用户名:${你的PAT}" | base64），并在.npmrc中配置为//<你的Feed域名>/:_authToken=<转换后的Base64值>。如果配置中缺少用户名前缀（用户名可任意填写），或Base64转换过程出错，会导致Authorization头格式无效，触发认证失败。

• Feed访问权限被调整：检查目标Feed的权限设置，确认PAT所属的用户/身份仍在Feed的参与者、贡献者或管理员组中。即便PAT拥有全局Packaging权限，若Feed自身的权限列表移除了该身份，仍会被拒绝访问。

• 代理对Authorization头的干扰：部分代理可能会修改或重写Authorization头（比如代理自身需要认证，导致原头被覆盖）。可尝试绕过代理直接访问Feed，验证是否是代理导致的头传递异常。

• Azure存储账户权限变更：错误中的请求地址指向Azure Blob存储，Azure Artifacts依赖存储账户存储包文件。如果存储账户的访问策略（如SAS权限、服务主体权限）被修改，可能导致Feed无法正常访问存储资源，进而返回认证失败的403错误。

内容的提问来源于stack exchange，提问作者Rafał S.