使用semantic-release发布GitHub私有包遇权限错误求助

问题复盘 #

使用semantic-release+GitHub Actions发布组织私有包时，Release能正常创建，但执行yarn publish时抛出ENEEDAUTH认证错误，本地手动发布无问题，参照官方模板操作仍失败。

核心问题与修复步骤 #

1. 修复YAML配置语法错误 #

你的setup-node步骤里的注释写法错误，YAML不支持//格式的行内注释，会导致配置解析异常，进而影响registry和scope的正确绑定。

修改后的Setup Node.js步骤：

- name: Setup Node.js
  uses: actions/setup-node@v3
  with:
    node-version: 'lts/*'
    registry-url: 'https://npm.pkg.github.com'
    scope: '@your-org' # 替换为你的组织名称

2. 明确publish命令的认证与参数 #

手动执行yarn publish时，需明确指定registry并确保环境变量正确传递，同时私有包要加上--access restricted参数：

- name: Publish to Github
  env:
    NODE_AUTH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
  run: yarn publish --registry https://npm.pkg.github.com --access restricted

3. 让semantic-release直接接管发布（推荐） #

semantic-release本身支持npm包发布，没必要单独执行yarn publish，避免版本号不同步或重复发布问题：

• 先安装依赖插件：yarn add -D @semantic-release/npm
• 在项目根目录创建.releaserc配置文件：

{
  "plugins": [
    "@semantic-release/commit-analyzer",
    "@semantic-release/release-notes-generator",
    "@semantic-release/github",
    [
      "@semantic-release/npm",
      {
        "registry": "https://npm.pkg.github.com",
        "access": "restricted"
      }
    ]
  ]
}

• 移除工作流里单独的Publish to Github步骤，给semantic-release添加NODE_AUTH_TOKEN环境变量：

- name: Release
  env:
    GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
    NODE_AUTH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
  run: yarn semantic-release

4. 优化权限配置 #

明确指定工作流需要的最小权限，避免权限冗余或不足：

permissions:
  contents: write # 用于创建Release
  packages: write # 用于发布包到GitHub Packages

5. 完善package.json配置 #

在package.json里添加publishConfig，让yarn自动识别发布配置：

{
  "name": "@your-org/your-package-name",
  "publishConfig": {
    "registry": "https://npm.pkg.github.com",
    "access": "restricted"
  }
}

内容的提问来源于stack exchange，提问作者Kaiser Soze