npm安装私有包失败：依赖从默认Registry拉取的问题求解

核心原因 #

你的第二个私有包依赖的第一个私有包属于npm.pkg.github.com私有源，但npm默认会从公共npm源拉取所有未指定源的包，且包自身的.npmrc不会在安装阶段被npm读取，因此触发404错误。

具体解决方案 #

1. 配置包的源映射（必做）

在要安装第二个包的新项目根目录，创建或修改.npmrc文件，添加以下配置（替换为你的GitHub组织名）：

# 指定你的组织下所有包从GitHub私有源拉取
@你的组织名:registry=https://npm.pkg.github.com
# 配置GitHub私有源的访问令牌（需拥有read:packages权限）
//npm.pkg.github.com/:_authToken=你的GitHub个人访问令牌

若要全局生效，直接修改用户主目录下的.npmrc文件即可。

2. 检查第二个私有包的依赖声明

确保第二个私有包的package.json中，第一个私有包的依赖是带组织前缀的完整包名（例如@your-org/package-1），不能只写裸包名。

3. 清理缓存并重新安装

执行以下命令清理旧缓存和依赖文件，再重新安装：

npm cache clean --force
rm -rf node_modules package-lock.json
npm install

4. 可选：在第二个私有包中固化源配置（避免后续使用者踩坑）

在第二个私有包的根目录创建.npmrc文件，添加源映射配置（不要包含令牌），然后在package.json的files字段中包含这个.npmrc：

{
  "files": [
    ".npmrc",
    // 你的其他包文件
  ]
}

这样其他开发者安装该包时，会自动继承源映射规则，无需重复配置。

内容的提问来源于stack exchange，提问作者Yannick Kraus