如何将Token存入.env文件并在package.json中调用以避免泄露？

算力阿峰

2026-8-4

解决方法

首先明确：npm/yarn 不会自动从 .env 文件读取环境变量并填充到 package.json 的依赖字段中，所以得通过脚本或命令行传参的方式实现，具体分以下几步：

1. 配置环境变量与忽略文件

在项目根目录创建 .env 文件，写入你的 Token：
```
GITHUB_TOKEN=你的实际OAuthToken
```
把 .env 添加到 .gitignore 文件中，避免 Token 被提交到 Git：
```
.env
```

2. 动态安装私有依赖

方式一：用 npm/yarn 脚本封装安装命令

在 package.json 的 scripts 里新增一个安装脚本，自动读取 .env 里的 Token 并执行安装：

{
  "scripts": {
    "install:my-lib": "GITHUB_TOKEN=$(grep GITHUB_TOKEN .env | cut -d '=' -f2) npm install git+https://${GITHUB_TOKEN}:x-oauth-basic@github.com/myOrg/my-lib.git#v1.0.0"
  }
}

之后运行 npm run install:my-lib 就能完成依赖安装，Token 不会出现在 Git 提交记录里。

方式二：直接在命令行传入 Token（适合单次安装或 CI 环境）

直接执行以下命令，从 .env 读取 Token 并安装依赖：

# npm 版本
GITHUB_TOKEN=$(grep GITHUB_TOKEN .env | cut -d '=' -f2) npm install git+https://${GITHUB_TOKEN}:x-oauth-basic@github.com/myOrg/my-lib.git#v1.0.0

# yarn 版本
GITHUB_TOKEN=$(grep GITHUB_TOKEN .env | cut -d '=' -f2) yarn add git+https://${GITHUB_TOKEN}:x-oauth-basic@github.com/myOrg/my-lib.git#v1.0.0

注意事项

如果你用 Windows 系统，读取 .env 的命令需要调整，比如用 PowerShell 命令提取 Token：

$env:GITHUB_TOKEN = (Get-Content .env | Select-String "GITHUB_TOKEN" | ForEach-Object { $_.Line.Split('=')[1] })
npm install git+https://${env:GITHUB_TOKEN}:x-oauth-basic@github.com/myOrg/my-lib.git#v1.0.0