如何用Yarn安装GitLab私有npm包？如何移除.npmrc中的认证令牌？

一、解决Yarn 404错误 #

你的问题出在Yarn对GitLab包注册表的路径解析逻辑上：npm会正确使用组级注册表https://gitlab.com/api/v4/packages/npm/拉取包，但Yarn默认尝试直接访问项目级路径/projects/<my-project-id>/packages/npm/，导致找不到已发布在组注册表下的包。

修复方案（分Yarn版本） #

1. Yarn 1.x（Classic）

修改你的.npmrc，添加项目级路径的令牌配置，确保Yarn能正确认证：

@my-org:registry=https://gitlab.com/api/v4/packages/npm/
//gitlab.com/api/v4/packages/npm/:_authToken=glpat-***********
//gitlab.com/api/v4/projects/<my-project-id>/packages/npm/:_authToken=glpat-***********

或者创建项目级.yarnrc文件，强制Yarn使用组级注册表：

@my-org:registry "https://gitlab.com/api/v4/packages/npm/"
//gitlab.com/api/v4/packages/npm/:_authToken "glpat-***********"

2. Yarn 2+/Berry

在.yarnrc.yml中配置注册表和认证：

npmScopes:
  my-org:
    npmRegistryServer: "https://gitlab.com/api/v4/packages/npm/"
    npmAuthToken: "glpat-***********"

二、将认证令牌移出.npmrc #

完全可以，推荐以下几种安全方案：

1. 使用环境变量（本地/CI通用） #

修改.npmrc为：

@my-org:registry=https://gitlab.com/api/v4/packages/npm/
//gitlab.com/api/v4/packages/npm/:_authToken=${NPM_TOKEN}

然后在本地终端或GitLab CI的环境变量中设置NPM_TOKEN=glpat-***********，令牌不会出现在代码文件中。

2. GitLab CI专用：使用CI_JOB_TOKEN #

GitLab CI提供内置的CI_JOB_TOKEN，无需手动生成令牌，直接在流水线脚本中配置：

# npm
npm config set @my-org:registry https://gitlab.com/api/v4/packages/npm/
npm config set //gitlab.com/api/v4/packages/npm/:_authToken $CI_JOB_TOKEN

# Yarn
yarn config set @my-org:registry https://gitlab.com/api/v4/packages/npm/
yarn config set //gitlab.com/api/v4/packages/npm/:_authToken $CI_JOB_TOKEN

该令牌仅在当前CI任务中有效，安全性更高。

3. 用户级配置（本地开发） #

通过命令将令牌存储在用户级配置中，不提交到项目仓库：

# npm
npm config set @my-org:registry https://gitlab.com/api/v4/packages/npm/
npm config set //gitlab.com/api/v4/packages/npm/:_authToken glpat-***********

# Yarn 1.x
yarn config set @my-org:registry https://gitlab.com/api/v4/packages/npm/
yarn config set //gitlab.com/api/v4/packages/npm/:_authToken glpat-***********

配置会保存在~/.npmrc或~/.yarnrc中，项目的.npmrc只需保留注册表配置：

@my-org:registry=https://gitlab.com/api/v4/packages/npm/

内容的提问来源于stack exchange，提问作者uiguig