NODE_AUTH_TOKEN与NPM_AUTH_TOKEN的区别及CI场景适配问题

一、两个环境变量的核心区别 #

• NPM_AUTH_TOKEN：是npm官方定义的标准认证变量，专门用于**默认npm官方注册表（registry.npmjs.org）**的身份验证。npm、yarn等包管理工具在发布无scope的包，或未指定自定义注册表的包时，会优先读取这个变量完成登录。
• NODE_AUTH_TOKEN：主要用于绑定特定scope的自定义注册表（比如GitHub Packages、私有npm仓库等）。它通常和.npmrc中的scope配置配合使用，仅对该scope下的包发布生效。

二、出现发布差异的原因 #

1. 原有包的场景：
   你使用了setup-node动作，这个GitHub Action会自动完成两项关键配置：

   • 为你的包对应的scope（比如@your-org）关联目标私有注册表（比如GitHub Packages的npm.pkg.github.com）；
   • 在临时生成的.npmrc文件中写入//npm.pkg.github.com/:_authToken=${NODE_AUTH_TOKEN}，把NODE_AUTH_TOKEN绑定到该scope的注册表认证上。
     所以原有包发布时，工具能通过NODE_AUTH_TOKEN完成对应scope注册表的认证，发布成功。

2. 新包的场景：
   新包仅含配置文件且未使用setup-node，意味着：

   • 没有自动配置scope与注册表的关联；
   • 如果新包是无scope的，发布时会默认指向npm官方注册表；
   • 此时yarn会去读取官方注册表对应的认证变量（即NPM_AUTH_TOKEN），但你用了NODE_AUTH_TOKEN，工具无法将其关联到默认注册表的认证，因此出现登录失败。换成NPM_AUTH_TOKEN后，工具读取到官方注册表的合法令牌，发布成功。

三、对“NPM_AUTH_TOKEN适用于npm注册表，NODE_AUTH_TOKEN适用于scope注册表”的解释 #

这句话可以拆解为两层含义：

• NPM_AUTH_TOKEN对应npm注册表：这里的“npm注册表”指默认的官方公共注册表（registry.npmjs.org），这是npm/yarn等工具默认的包发布地址，NPM_AUTH_TOKEN是该注册表的标准认证令牌，所有指向这个地址的发布操作都会依赖它。
• NODE_AUTH_TOKEN对应scope注册表：这里的“scope注册表”指和特定包作用域（比如@my-team）绑定的自定义注册表。当你在.npmrc中配置了@my-team:registry=https://my-private-registry.com/，并将该注册表的认证令牌设为NODE_AUTH_TOKEN时，这个变量就只对@my-team/*这类包的发布生效，不会影响默认注册表的认证逻辑。

内容的提问来源于stack exchange，提问作者Paul-Marie