基于GitHub私有旧仓库免费托管私有NPM包的技术问询

(i) 截至2022年中，此方法是否正确，有无遗漏步骤？ #

整体流程是可行的，但有几个关键步骤你可能漏掉了：

• 你的GitHub Token必须具备write:packages（用于发布包）和repo（用于访问私有仓库）权限，创建Token时一定要勾选这两个权限，否则发布或后续安装会直接失败。
• 确保package.json里的name字段格式为@my-organization-name/你的包名，这是GitHub Packages组织私有包的强制命名规则，不符合的话无法发布。
• 发布前要检查仓库根目录的package.json是否包含必要字段（比如name、version），同时确认.gitignore没有误屏蔽掉Sheetjs扩展的核心代码，否则打包出来的包会缺少关键内容。
• 执行npm publish前，要保证当前分支是合并后的主分支（比如main），且本地代码和远程仓库完全同步。

(ii) 手动修改package.json不被推荐，是否有替代方案？ #

有两种更规范的替代方式：

• 用npm命令配置，无需修改package.json：
  在终端执行以下命令，配置会自动写入你用户目录的.npmrc文件：

  npm config set @my-organization-name:registry https://npm.pkg.github.com/
  npm config set publishConfig.registry https://npm.pkg.github.com/ --scope=@my-organization-name
  

  后续发布时npm会自动读取这个配置，不用再改package.json。
• 项目级.npmrc配置：
  在仓库根目录新建一个.npmrc文件，写入以下内容：

  registry=https://registry.npmjs.org/
  @my-organization-name:registry=https://npm.pkg.github.com/
  publishConfig.registry=https://npm.pkg.github.com/
  

  这种方式适合团队统一配置，也不需要修改package.json。

(iii) 若发布成功，同组织且已有仓库访问权限的同事能否直接执行npm install @my-organization/my-private-repo？若不能，需如何完成GitHub Packages Registry的认证？ #

不能直接执行安装，每个同事需要完成以下认证步骤：

• 生成自己的GitHub Token，权限需要勾选read:packages和repo。
• 在本地用户目录（比如macOS的/Users/xxx）配置.npmrc文件，内容和你配置的类似：

  registry=https://registry.npmjs.org/
  @my-organization-name:registry=https://npm.pkg.github.com/
  //npm.pkg.github.com/:_authToken=他们自己的GitHub-Token
  

• 或者让同事在终端执行npm login --registry=https://npm.pkg.github.com/，然后输入GitHub用户名、把Token作为密码输入（邮箱可随意填写），npm会自动将认证信息写入.npmrc。

(iv) 如何测试手动修改package.json是否引发问题？ #

可以通过以下几个步骤测试：

• 执行npm pack命令：会生成一个.tgz格式的包文件，模拟发布打包过程。检查这个包的内容，确认Sheetjs扩展的核心代码都在里面，没有被遗漏。
• 本地测试安装：把生成的.tgz文件复制到一个空白测试项目中，执行npm install ./xxx.tgz，测试能否正常安装并调用包的功能，确认依赖引入没有问题。
• 模拟发布：执行npm publish --dry-run命令，这个命令会完整走一遍发布流程，但不会真正把包上传到GitHub Packages，能帮你检查配置是否正确、权限是否足够，以及package.json的格式是否符合要求。

内容的提问来源于stack exchange，提问作者Pedro Delfino