如何在package.json中安全引用Bitbucket私有仓库包（避免令牌暴露）

首先明确：package.json本身不支持直接解析环境变量，所以你直接写类似${BITBUCKET_TOKEN}的形式是无效的，npm会把它当作URL的一部分发送，自然会触发权限拒绝。下面是几种可行的替代方案：

方案1：使用.npmrc存储认证信息 #

这是最常用的方式，把令牌存在项目的.npmrc文件中（可加入.gitignore避免提交到仓库）：

1. 在项目根目录创建或编辑.npmrc，添加以下内容（替换占位符为你的实际信息）：

   //bitbucket.org/api/1.0/repositories/{你的用户名}/{仓库名}/raw/:_authToken={你的Bitbucket令牌}
   

2. 修改package.json中的依赖引用，去掉令牌部分：

   "dependencies": {
     "mypackage": "git+https://bitbucket.org/你的用户名/仓库名.git"
   }
   

3. 执行npm install时，npm会自动读取.npmrc中的令牌完成认证，无需暴露在package.json里。

方案2：通过环境变量动态设置npm配置 #

如果不想用.npmrc文件，可以在安装前通过命令注入环境变量中的令牌：

1. 确保你的环境中已经设置了BITBUCKET_TOKEN变量（比如终端导出，或是CI/CD环境的秘密变量）。
2. 执行以下命令配置npm认证，再安装依赖：

   npm config set //bitbucket.org/api/1.0/repositories/你的用户名/仓库名/raw/:_authToken $BITBUCKET_TOKEN
   npm install
   

3. 这种方式完全不需要在文件中存储令牌，适合CI/CD场景或多人协作时避免共享令牌。

方案3：使用Bitbucket的SSH链接（可选） #

如果你的环境支持SSH认证，可以改用SSH地址引用包，无需令牌：

"dependencies": {
  "mypackage": "git+ssh://git@bitbucket.org/你的用户名/仓库名.git"
}

前提是用户本地已配置Bitbucket的SSH公钥，npm安装时会自动通过SSH认证。

内容的提问来源于stack exchange，提问作者Ajay kumar