Renovate Bot访问Azure DevOps私有npm源时出现401认证错误

我在Azure DevOps中使用私有npm registry时遇到了401错误。Renovate安装过程正常且使用了指定的registry，但运行时出现401认证失败。我需要让Renovate使用npmAuthenticate@0任务生成的.npmrc配置，请问该怎么处理？

当前配置 #

pipeline.yaml（仓库根目录） #

steps:
  - task: npmAuthenticate@0
    inputs:
      workingFile: .npmrc
  - script: |
      git config --global user.email 'bot@renovateapp.com'
      git config --global user.name 'Renovate Bot'
      npx --userconfig .npmrc renovate
    env:
      TOKEN: $(System.AccessToken)
      PAT: $(PAT)

config.js（仓库根目录） #

module.exports = {
    platform: 'azure',
    endpoint: 'https://devops.<url>.de/.../',
    logLevel: 'debug',
    token: process.env.TOKEN,
    repositories: ['...'],
    enabledManagers: ["npm"],
    hostRules: [
        {
            enabled: true,
            hostType: 'npm',
            matchHost: 'devops.<url>.de',
            token: process.env.PAT,
        },
    ],
};

.npmrc（仓库根目录） #

registry=https://devops.<url>.de/Collaboration/_packaging/.../npm/registry/
always-auth=true

错误信息 #

ERROR: Repository has unknown error (repository=...)
       "err": {
         "statusCode": 401,
         "message": "Failed request: (401)",
         "stack": "Error: Failed request: (401)\n    at RestClient.<anonymous> (/root/.npm/_npx/05eeecd92f4e18e0/node_modules/typed-rest-client/RestClient.js:202:31)\n    at Generator.next (<anonymous>)\n    at fulfilled (/root/.npm/_npx/05eeecd92f4e18e0/node_modules/typed-rest-client/RestClient.js:6:58)\n    at process.processTicksAndRejections (node:internal/process/task_queues:95:5)"
       }

解决方法 #

问题核心是Renovate默认优先读取hostRules配置，会覆盖npmAuthenticate@0生成的.npmrc认证信息。按以下步骤调整即可：

1. 移除config.js中的npm hostRules配置
   删除hostRules里针对私有npm registry的条目，避免Renovate用PAT覆盖.npmrc中的认证令牌：

   module.exports = {
       platform: 'azure',
       endpoint: 'https://devops.<url>.de/.../',
       logLevel: 'debug',
       token: process.env.TOKEN,
       repositories: ['...'],
       enabledManagers: ["npm"]
       // 移除原有的hostRules配置
   };
   

2. 强制Renovate读取修改后的.npmrc
   npmAuthenticate@0会在指定的.npmrc中注入认证信息，除了用--userconfig参数，还可以通过环境变量NPM_CONFIG_USERCONFIG确保Renovate加载该文件。修改pipeline的script步骤：

   - script: |
       git config --global user.email 'bot@renovateapp.com'
       git config --global user.name 'Renovate Bot'
       export NPM_CONFIG_USERCONFIG=$(pwd)/.npmrc
       npx renovate
     env:
       TOKEN: $(System.AccessToken)
       # 若无需其他场景使用PAT，可移除PAT环境变量
   

3. 验证.npmrc的认证信息
   可以在pipeline中添加步骤，查看npmAuthenticate@0修改后的.npmrc内容，确认认证令牌已正确注入：

   - task: npmAuthenticate@0
     inputs:
       workingFile: .npmrc
   - script: cat .npmrc
   # 后续执行Renovate的步骤
   

4. 检查权限配置
   确保$(System.AccessToken)对应的服务账号，或你使用的PAT，拥有私有npm registry的读取权限（在Azure DevOps包管理的权限设置中配置）。

内容的提问来源于stack exchange，提问作者rene