在GitHub Action中安装私有包遭遇401未授权错误，求排查方案

我正在使用托管在GitHub上的私有包，在GitHub Actions工作流中配置了如下内容：

- name: Set GitHub packages registry
  run: |
    echo "//npm.pkg.github.com/:_authToken=${{ secrets.GITHUB_TOKEN }}" > ~/.npmrc

- name: Install Node.js dependencies
  run: yarn
  env:
    NODE_AUTH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

同时还配置了Node.js环境：

- name: Setup Node.js
  uses: actions/setup-node@v3
  with:
    node-version: 18.13.0
    registry-url: https://npm.pkg.github.com/

但构建持续报错401未授权。本地通过包含以下内容的.npmrc文件可正常下载该私有包：

//npm.pkg.github.com/:_authToken={mytoken}

核心问题原因 #

• 重复配置冲突：actions/setup-node@v3会自动生成.npmrc并注入认证信息，手动写入~/.npmrc的步骤会覆盖或干扰自动配置，导致认证失效。
• GITHUB_TOKEN权限不足：默认的GITHUB_TOKEN仅对当前仓库拥有读写权限，若私有包托管在其他GitHub仓库，该token无访问权限，触发401。
• Yarn认证逻辑优先级：Yarn对.npmrc和环境变量的优先级处理特殊，同时设置可能导致认证信息不生效。

修复方案 #

方案一：简化配置，依托setup-node自动处理 #

删除手动生成.npmrc的步骤，仅保留环境配置和依赖安装：

- name: Setup Node.js
  uses: actions/setup-node@v3
  with:
    node-version: 18.13.0
    registry-url: https://npm.pkg.github.com/
    # 私有包属于组织时，需指定scope（例如@your-org）
    scope: '@your-organization'

- name: Install Node.js dependencies
  run: yarn
  env:
    NODE_AUTH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

注意：若私有包在其他仓库，需确保当前工作流的GITHUB_TOKEN被授予该仓库的访问权限，或改用个人访问令牌（PAT）。

方案二：用PAT替代默认GITHUB_TOKEN（跨仓库场景适用） #

1. 生成具备read:packages权限的个人访问令牌（PAT），添加到当前仓库的Secrets中（命名为GH_PAT）。
2. 修改工作流配置：

- name: Setup Node.js
  uses: actions/setup-node@v3
  with:
    node-version: 18.13.0
    registry-url: https://npm.pkg.github.com/

- name: Install dependencies
  run: yarn
  env:
    NODE_AUTH_TOKEN: ${{ secrets.GH_PAT }}

方案三：手动配置.npmrc（兼容旧场景，不推荐） #

若必须手动生成.npmrc，需确保配置准确无冲突：

- name: Setup Node.js
  uses: actions/setup-node@v3
  with:
    node-version: 18.13.0

- name: Configure GitHub Packages registry
  run: |
    echo "@your-organization:registry=https://npm.pkg.github.com/" >> ~/.npmrc
    echo "//npm.pkg.github.com/:_authToken=${{ secrets.GH_PAT }}" >> ~/.npmrc

- name: Install dependencies
  run: yarn

需明确指定包的scope，避免registry匹配错误，同时使用具备跨仓库权限的PAT。

内容的提问来源于stack exchange，提问作者Kaiser Soze