如何配置package.json依赖项安装Azure私有仓库包

组件库侧前置准备 #

• 把存放UI组件的仓库初始化为标准npm包：在组件库根目录执行npm init，填好包名、版本号，建议包名加自有组织前缀避免和公共npm包重名，比如@your-team/ui-kit，同时配置好main/module字段指向组件库构建后的入口文件，写好构建脚本把TS/JSX源码转译成可直接运行的产物。
• 根目录新增.npmignore文件，把测试用例、本地调试demo、文档目录、node_modules这类不需要随包安装的内容排除，控制依赖包体积。
• 在Azure DevOps的Artifacts模块创建私有npm制品源，给组件维护者开包推送权限，给所有需要复用组件的开发账号、CI服务账号开包读取权限。

本地&项目配置 #

• 本地开发环境先执行Azure制品源对应的npm登录命令，把私有源的认证信息写入本地用户级.npmrc文件，不要把账号密码这类敏感信息提交到代码仓库。
• 在所有需要复用组件的应用项目根目录，新增项目级.npmrc文件，给组件包的作用域绑定Azure私有源地址，配置示例：

@your-team:registry=https://pkgs.dev.azure.com/你的组织名/对应项目名/_packaging/你的私有制品源名/npm/registry/
always-auth=true

• 首次把组件包推送到Azure私有源后，直接在应用项目的package.json的dependencies字段按普通npm包的格式添加依赖即可，不需要写特殊的git地址或者本地路径：

{
  "dependencies": {
    "@your-team/ui-kit": "^1.2.0"
  }
}

避坑提醒：别图省事直接把Azure上的git仓库地址填到dependencies里拉源码当依赖，这种野路子玩法不走npm标准安装逻辑，组件库声明的peer依赖（比如React、Vue这类要求业务项目统一安装的运行时依赖）不会被自动校验，也没法做语义化版本控制，跨项目用的时候十有八九会碰到依赖重复打包、版本不一致、运行时报错的问题。

团队&流水线适配 #

• 团队其他成员只需要在本地完成一次Azure私有源的登录认证，拉取代码后执行npm install就会自动拉取对应版本的组件包，不需要额外配置。
• CI/CD流水线构建时，给npm安装任务绑定Azure Artifacts的服务连接凭据，执行npm ci即可自动安装私有依赖，全程不需要在代码中硬编码任何认证信息。

内容的提问来源于stack exchange，提问作者Nameless