GitHub工作流安装组织私有仓库包时出现401认证错误

核心修复步骤 #

1. 确认Personal Access Token (PAC) 权限 #

• 确保PAC拥有read:packages权限；若为组织级令牌，需在组织设置中启用对私有包仓库的访问权限。
• 检查令牌未过期，且已正确存入目标仓库的Action Secrets（密钥名需与工作流中引用的NODE_TOKEN完全一致）。

2. 优化setup-node工作流配置 #

修改工作流中的setup-node步骤，直接传入认证信息与包仓库配置，避免环境变量传递可能的异常：

- name: Use Node.js ${{ matrix.node-version }}
  uses: actions/setup-node@v3
  with:
    node-version: ${{ matrix.node-version }}
    registry-url: 'https://registry.npmjs.org/'
    scope: '@OrgName'
  env:
    NODE_AUTH_TOKEN: ${{ secrets.NODE_TOKEN }}

3. 修正.npmrc配置 #

保留必要配置项，确保组织私有包的仓库指向正确：

shamefully-hoist=true
registry=https://registry.npmjs.org/
@OrgName:registry=https://npm.pkg.github.com/
always-auth=true
strict-peer-dependencies=false
legacy-peer-deps=true

注意：无需手动写入_authToken字段，setup-node会自动将环境变量注入到npm配置中。

4. 强制注入认证令牌（备选方案） #

若上述步骤仍无效，可在npm ci前手动将令牌写入.npmrc，确保变量正确展开：

- name: Inject npm auth token
  run: echo "//npm.pkg.github.com/:_authToken=${{ secrets.NODE_TOKEN }}" >> .npmrc
- name: NPM install
  run: npm ci

验证要点 #

• 本地测试时，使用与工作流完全相同的PAC令牌，排除令牌本身的权限问题。
• 检查组织私有包的「Manage Actions Access」设置，确认当前仓库已被添加到允许访问列表。

内容的提问来源于stack exchange，提问作者TheFlyer