GitHub Actions场景下，如何在.npmrc中使用GitHub Secrets？

针对你遇到的GPR依赖安装时.npmrc无法安全使用Secrets的问题，以下是几个可行的解决办法：

方法一：在GitHub Actions工作流中动态生成.npmrc #

利用CI环境可直接访问Secrets的特性，在workflow.yml中通过命令动态生成包含认证令牌的.npmrc文件，避免敏感信息存入仓库。

示例配置：

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: 配置Node.js环境
        uses: actions/setup-node@v4
        with:
          node-version: '20'
      - name: 生成.npmrc
        run: |
          echo "//npm.pkg.github.com/:_authToken=${{ secrets.MY_PAT_SECRET }}" >> .npmrc
          echo "@你的组织名:registry=https://npm.pkg.github.com" >> .npmrc
      - name: 安装依赖
        run: npm install

其中MY_PAT_SECRET是你存在GitHub Secrets中的个人访问令牌（PAT），需确保该PAT拥有read:packages权限且能访问所有依赖所在的仓库。

方法二：用setup-node动作自动配置npm认证 #

GitHub官方的setup-node动作支持直接传入registry和认证令牌，会自动帮你生成正确的.npmrc配置，无需手动处理文件。

示例配置：

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: 配置Node.js并设置GPR认证
        uses: actions/setup-node@v4
        with:
          node-version: '20'
          registry-url: 'https://npm.pkg.github.com'
          scope: '@你的组织名'
          auth-token: ${{ secrets.MY_PAT_SECRET }}
      - name: 安装依赖
        run: npm install

方法三：结合模板文件与环境变量替换 #

如果需要保留部分静态配置，可以在仓库中存放一个.npmrc.template模板文件（不含敏感信息），再通过环境变量替换生成最终的.npmrc。

1. 仓库中创建.npmrc.template：

//npm.pkg.github.com/:_authToken=${NPM_AUTH_TOKEN}
@你的组织名:registry=https://npm.pkg.github.com

2. workflow.yml中添加替换步骤：

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: 配置Node.js环境
        uses: actions/setup-node@v4
        with:
          node-version: '20'
      - name: 从模板生成.npmrc
        run: envsubst < .npmrc.template > .npmrc
        env:
          NPM_AUTH_TOKEN: ${{ secrets.MY_PAT_SECRET }}
      - name: 安装依赖
        run: npm install

补充说明 #

你尝试的${GITHUB_TOKEN}无法生效，是因为该令牌仅拥有当前工作流所在仓库的权限，无法访问其他仓库的GPR依赖。因此必须使用拥有跨仓库权限的PAT，且该PAT需提前存入GitHub Secrets中。

内容的提问来源于stack exchange，提问作者Mani Shankar