如何为GitLab配置Renovate Bot以支持私有依赖？

问题现象 #

Renovate Bot定时运行时，无法识别GitLab组内的私有npm包，出现如下警告：

WARN: Package lookup failures (repository=my-group/my-subgroup/my-project)
43       "warnings": [
44         "Failed to look up npm package @my-group/my-deps-repo-1",
45         "Failed to look up npm package @my-group/my-deps-repo-2",
46         "Failed to look up npm package @my-group/my-deps-repo-3"
47       ],
48       "files": ["package.json"]

解决步骤 #

• 检查RENOVATE_HOST_RULES格式是否正确
  确保这个CI变量是标准JSON格式，包含npm registry地址和PAT令牌，示例如下：

  [
    {
      "hostType": "npm",
      "matchHost": "gitlab.com",
      "token": "${CI_GITLAB_TOKEN}",
      "npmRegistryUrl": "https://gitlab.com/api/v4/packages/npm/"
    }
  ]
  

  自托管GitLab请替换为对应域名的registry地址，同时确保变量设置为受保护和掩码状态，避免权限读取异常。

• 确认PAT权限覆盖范围
  PAT必须包含read_api和read_repository权限，且作用域要覆盖私有包所在的所有组/子组，避免因权限不足无法拉取包元数据。

• 同步项目内的npm配置
  项目根目录的.npmrc文件需指定私有scope对应的registry，比如：

  @my-group:registry=https://gitlab.com/api/v4/packages/npm/
  

  Renovate会读取这个配置定位私有包，即使全局HOST_RULES已配置，本地项目的npm配置也要匹配。

• 验证PAT与registry的连通性
  在CI pipeline中添加测试步骤，用curl验证是否能正常访问私有包：

  curl --header "PRIVATE-TOKEN: ${CI_GITLAB_TOKEN}" https://gitlab.com/api/v4/packages/npm/@my-group/my-deps-repo-1
  

  如果返回包的元数据，说明PAT和地址没问题，问题出在Renovate配置的加载环节。

• 更新Renovate Runner版本
  旧版本可能存在HOST_RULES解析bug，将Renovate Runner升级到最新稳定版，确保配置逻辑兼容。

内容的提问来源于stack exchange，提问作者rytis-valiukas