CI中使用GitHub自动令牌认证执行npm install遇权限拒绝求助

可能的原因及修复方案 #

1. 提升GITHUB_TOKEN的权限 #

默认的GITHUB_TOKEN仅拥有当前仓库的只读权限，若项目依赖其他私有GitHub包，令牌会因权限不足报错。需在工作流中显式声明权限：

jobs:
  build:
    runs-on: ubuntu-latest
    permissions:
      packages: read  # 授予读取GitHub包的权限
      contents: read  # 保留仓库内容读取权限（显式声明更清晰）

2. 用setup-node内置功能配置npm认证 #

手动写入.npmrc容易出错，推荐使用actions/setup-node的内置能力自动配置，同时指定包的scope：

- name: Set up Node.js
  uses: actions/setup-node@v3
  with:
    node-version: 18
    registry-url: 'https://npm.pkg.github.com/'
    scope: '@你的用户名或组织名'  # 替换为包所属的实际scope，比如@my-team

此配置会自动生成正确的.npmrc，无需手动执行echo命令。

3. 确认package.json中的依赖格式 #

确保私有包依赖正确指定了scope，格式如下：

"dependencies": {
  "@my-team/my-private-package": "^1.0.0"
}

4. 处理fork仓库PR的特殊情况 #

若PR来自fork仓库，默认GITHUB_TOKEN无法访问原仓库的私有包，需使用个人访问令牌（PAT）替代：

1. 生成带有read:packages权限的PAT，存入仓库密钥（命名为NPM_TOKEN）
2. 在工作流中替换令牌：

- name: Set up Node.js
  uses: actions/setup-node@v3
  with:
    node-version: 18
    registry-url: 'https://npm.pkg.github.com/'
    scope: '@你的用户名或组织名'
  env:
    NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}

完整修复后的工作流示例 #

name: CI

on:
  push:
    branches:
      - main
  pull_request:
    branches:
      - main

jobs:
  build:
    runs-on: ubuntu-latest
    permissions:
      packages: read
      contents: read

    steps:
      - name: Checkout repository
        uses: actions/checkout@v3

      - name: Set up Node.js
        uses: actions/setup-node@v3
        with:
          node-version: 18
          registry-url: 'https://npm.pkg.github.com/'
          scope: '@你的用户名或组织名'
        env:
          NODE_AUTH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      - name: Install dependencies
        run: npm install

内容的提问来源于stack exchange，提问作者Lilian Work