CI流水线npm install报403错误，为何从私有仓库拉取zone.js？

为什么npm会从私有仓库拉取zone.js？ #

因为你的.npmrc将默认registry设置为了私有仓库，npm会默认从配置的默认源拉取所有依赖包——不管是公共包（比如zone.js）还是私有包，除非你配置了特定scope的源映射规则，或者私有仓库本身代理了公共npm源。

核心问题排查 #

你的.npmrc存在格式错误：

//<my-private-jforg-registry>:${CI_NPM_REGISTRY_MAIL}

这行缺少了email=前缀，正确格式应为//<my-private-jforg-registry>:email=${CI_NPM_REGISTRY_MAIL}。格式错误会导致npm的认证配置不完整，即使npm whoami显示登录成功，实际拉取包时的权限校验可能失败。

解决步骤 #

1. 修复.npmrc格式
   修正后的配置如下：

   registry=https://<my-private-jforg-registry>
   //<my-private-jforg-registry>:_password=${CI_NPM_REGISTRY_PASSWORD}
   //<my-private-jforg-registry>:username=${CI_NPM_REGISTRY_USERNAME}
   //<my-private-jforg-registry>:email=${CI_NPM_REGISTRY_MAIL}
   //<my-private-jforg-registry>:always-auth=true
   

2. 配置公共包的拉取规则
   如果你的私有仓库没有代理公共npm源（无法拉取zone.js这类公共包），需要调整.npmrc，让公共包从官方源拉取，私有包从私有源拉取：

   # 仅你的私有scope包使用私有源（替换成实际的私有scope，比如@your-company）
   @your-company:registry=https://<my-private-jforg-registry>
   # 所有公共包使用npm官方源
   registry=https://registry.npmjs.org/
   # 私有源的认证信息保留
   //<my-private-jforg-registry>:_password=${CI_NPM_REGISTRY_PASSWORD}
   //<my-private-jforg-registry>:username=${CI_NPM_REGISTRY_USERNAME}
   //<my-private-jforg-registry>:email=${CI_NPM_REGISTRY_MAIL}
   //<my-private-jforg-registry>:always-auth=true
   

   如果私有仓库支持代理公共源，需检查私有仓库的代理配置，确保zone.js这类公共包可被正常代理，且当前账号有访问代理资源的权限。

3. 验证CI环境变量
   确认CI_NPM_REGISTRY_PASSWORD、CI_NPM_REGISTRY_USERNAME、CI_NPM_REGISTRY_MAIL三个环境变量在CI流水线中已正确注入，没有拼写错误或未赋值的情况。

4. 检查私有仓库权限
   确认当前账号拥有读取以下资源的权限：

   • 若私有仓库代理了公共源：代理的公共包资源权限
   • 若zone.js被错误发布到私有仓库：该私有包的读取权限

内容的提问来源于stack exchange，提问作者Smaillns