Azure Pipeline第二步npm安装因私有npm仓库权限失败求助

环境与配置说明 #

• 我们维护一个集成React SPA的.NET应用，部署在4个分属不同Azure订阅的应用服务环境：Prod/Test/Sandbox/Dev
• 前端依赖Azure Artifacts私有仓库的npm包，ClientApp根目录下的.npmrc配置如下：

@company:registry=https://pkgs.dev.azure.com/org/_packaging/company-npm/npm/registry
always-auth=true

• .NET项目文件App.Backend.API.csproj中配置了发布阶段的前端构建逻辑，会触发第二次npm install：

<Target Name="PublishRunWebpack" AfterTargets="ComputeFilesToPublish">
  <Exec WorkingDirectory="$(SpaRoot)" Command="npm install" /> <!-- 第二次执行npm install -->
</Target>

问题现象 #

• Prod/Test环境的Pipeline能正常完成私有包安装，但Dev/Sandbox环境执行失败，报错401 unauthenticated
• 若手动在.npmrc中配置个人PAT令牌，错误变为403 (no permissions)
• 该问题为近期出现，3个月前创建Sandbox/Dev环境时无此异常
• Pipeline中第一步通过Npm@1任务执行的npm install成功，但第二步由DotNet发布触发的npm install失败，Pipeline核心步骤如下：

stages:
   - stage: Build
     jobs:
        - job: build
          steps:
            - checkout: self

            - task: Npm@1
              inputs:
                command: 'install'

            ...
    
            - task: DotNetCoreCLI@2 # 触发csproj中定义的第二次npm install
              displayName: 'Publish'
              inputs:
                command: 'publish'
                zipAfterPublish: true

已有猜想 #

• 相同源码仅部分环境异常，推测Azure DevOps中服务主体/环境对私有仓库的权限存在差异（DevOps团队称已调整权限，但问题仍存在）
• Prod/Test环境可能依赖了带有有效令牌的缓存.npmrc或全局配置，需验证是否存在这类隐式配置
• 两次npm install的执行上下文不同：第一次由Npm任务的node进程执行，第二次由dotnet进程触发，可能导致认证环境不一致

排查思路建议 #

1. 对比两次npm执行的上下文差异 #

在Pipeline的DotNetCoreCLI@2任务前添加调试步骤，打印执行用户、npm配置和环境变量，对比Prod/Test与Dev/Sandbox的输出：

- script: |
    whoami
    echo "=== 当前npm配置 ==="
    npm config list
    echo "=== 关键环境变量 ==="
    env | grep -E "NPM|AZURE|TOKEN|SPAROOT"
  displayName: '调试执行上下文'
  workingDirectory: $(SpaRoot)

重点关注：

• @company:registry的配置是否一致
• 是否存在//pkgs.dev.azure.com/org/_packaging/company-npm/npm/registry/:_authToken令牌配置
• 两次执行的用户身份、环境变量是否有差异

2. 检查缓存与全局.npmrc配置 #

添加步骤列出所有可能的.npmrc文件，确认是否存在全局配置或缓存影响：

- script: |
    echo "=== 项目目录.npmrc ==="
    cat $(SpaRoot)/.npmrc
    echo "=== 用户全局.npmrc ==="
    ls -la ~/.npmrc && cat ~/.npmrc || echo "无用户全局配置"
    echo "=== 系统全局.npmrc ==="
    ls -la /etc/npmrc && cat /etc/npmrc || echo "无系统全局配置"
    echo "=== npm缓存状态 ==="
    npm cache verify
  displayName: '检查npm配置与缓存'

可尝试在Dev/Sandbox环境的Pipeline中添加npm cache clean --force清理缓存后重新执行，验证是否解决问题。

3. 统一npm install的执行逻辑 #

既然第一次npm install已经成功，可修改csproj的构建目标，跳过重复的npm install，仅执行webpack构建：

<Target Name="PublishRunWebpack" AfterTargets="ComputeFilesToPublish">
  <!-- 跳过重复npm install，直接执行构建 -->
  <Exec WorkingDirectory="$(SpaRoot)" Command="npm run build" />
</Target>

若必须保留第二次npm install，则在DotNet任务前显式注入认证令牌：

- script: |
    npm config set //pkgs.dev.azure.com/org/_packaging/company-npm/npm/registry/:_authToken $(System.AccessToken)
  workingDirectory: $(SpaRoot)
  displayName: '设置NPM认证令牌'

需确保Pipeline使用的服务主体拥有Azure Artifacts私有仓库的读取权限。

4. 重新验证服务主体权限 #

让DevOps团队确认Dev/Sandbox环境的Pipeline服务主体（或托管身份）的权限：

• 检查服务主体是否被添加到私有npm仓库的Reader角色中
• 验证权限变更是否生效：可使用服务主体的令牌调用仓库API测试，例如：

  curl -H "Authorization: Bearer <服务主体令牌>" https://pkgs.dev.azure.com/org/_packaging/company-npm/npm/registry/@company%2Fyour-package-name
  

5. 排查近期权限变更记录 #

回溯3个月内的相关变更：

• 是否有服务主体的权限被撤销/修改
• 是否有PAT令牌或托管身份凭证过期
• 是否有Azure Artifacts仓库的认证策略、权限配置变更

内容的提问来源于stack exchange，提问作者AlleXyS