如何在fly.io部署包含GitHub私有包的Node.js应用？

问题分析 #

你遇到的核心问题是Fly.io构建阶段，npm没有正确读取私有仓库配置，导致去npmjs.org搜索你的私有包。第二次尝试里存在明显的scope拼写错误（你package.json里是@myscope，但Dockerfile里写了@spiff-radio），这是导致配置不生效的关键原因之一。另外还有依赖安装重复、明文存储token的问题，下面给出修正后的解决方案：

解决方案1：Dockerfile + Fly Secrets 安全配置 #

这是最可靠的方式，既保证配置生效，又避免敏感信息泄露。

1. 存储GitHub令牌到Fly Secrets
   不要在fly.toml里明文写token，执行命令把令牌存入Fly的安全存储：

   fly secrets set GITHUB_TOKEN=你的GitHub私有包访问令牌
   

2. 修正Dockerfile
   修正scope拼写错误，合并依赖安装步骤，并清理敏感配置：

   FROM node:18-alpine
   
   WORKDIR /app
   
   # 先复制package文件，利用Docker缓存优化构建速度
   COPY package*.json ./
   
   # 引入构建参数，配置npm私有仓库
   ARG GITHUB_TOKEN
   RUN npm config set @myscope:registry https://npm.pkg.github.com \
       && npm config set "//npm.pkg.github.com/:_authToken" "${GITHUB_TOKEN}" \
       && npm ci --production \
       # 安装完成后立即清理敏感配置，避免留在镜像中
       && npm config delete "//npm.pkg.github.com/:_authToken" \
       && npm config delete @myscope:registry
   
   # 复制应用代码
   COPY . .
   
   # 替换成你的应用启动命令
   CMD ["node", "index.js"]
   

3. 更新fly.toml
   添加构建参数，让Fly在构建阶段传递令牌：

   [build]
     build_args = { GITHUB_TOKEN = "${GITHUB_TOKEN}" }
   

解决方案2：Buildpack + .npmrc 配置 #

如果你偏好使用Buildpack而非Dockerfile，按以下步骤调整：

1. 修改项目根目录的.npmrc
   不要写死token，改用环境变量引用：

   //npm.pkg.github.com/:_authToken=${GITHUB_TOKEN}
   @myscope:registry=https://npm.pkg.github.com
   

2. 更新fly.toml
   配置Buildpack并关联环境变量：

   [build]
     include = [".npmrc"]
     buildpacks = ["heroku/nodejs"]
   [env]
     NPM_CONFIG_GITHUB_TOKEN = "${GITHUB_TOKEN}"
   

3. 同样存储令牌到Fly Secrets
   执行fly secrets set GITHUB_TOKEN=你的GitHub令牌

关键注意事项 #

• scope完全匹配：确保所有配置里的@myscope和package.json中的私有包scope完全一致，拼写错误会直接导致配置失效
• 避免明文token：永远不要把令牌写在代码或配置文件里，Fly Secrets是安全的存储方式
• 优先用npm ci：npm ci会严格按照package-lock.json安装依赖，构建更稳定高效，避免版本不一致问题

内容的提问来源于stack exchange，提问作者gordie