如何配置GitHub Actions访问私有npm包

问题原因 #

仅在workflow顶层声明NPM_TOKEN环境变量时，npm不会自动读取该变量完成私有包拉取鉴权，执行npm ci时访问归属个人/组织的私有包会因未携带有效鉴权信息触发权限报错。
你之前生成只读权限npm访问密钥、存入仓库Secrets的操作方向是正确的，不需要额外申请更高权限的密钥。

前置校验项 #

配置修改前先确认以下信息，避免无效调整：

• 生成NPM_TOKEN对应的npm账号已加入你的自建npm组织，且对目标私有包拥有只读访问权限
• 存入GitHub仓库Secrets的变量名严格为NPM_TOKEN，无拼写错误、首尾多余空格
• 本地项目根目录如果存在提交到仓库的.npmrc文件，文件内没有硬编码失效token、没有配置错误的私有源地址

可直接使用的修正配置 #

不需要安装任何第三方依赖、第三方Action，直接替换原有node.js.yml内容即可，注意把配置里的@your-org替换为你自己的npm组织名称：

name: Node.js CI

on:
  push:
    branches: ['main']
  pull_request:
    branches: ['main']

jobs:
  build:
    runs-on: ubuntu-latest

    strategy:
      matrix:
        node-version: [14.x]

    steps:
      - uses: actions/checkout@v3
      - name: Use Node.js ${{ matrix.node-version }}
        uses: actions/setup-node@v3
        with:
          node-version: ${{ matrix.node-version }}
          cache: 'npm'
          registry-url: 'https://registry.npmjs.org'
      - name: Configure private package auth
        run: |
          echo "@your-org:registry=https://registry.npmjs.org/" >> .npmrc
          echo "//registry.npmjs.org/:_authToken=${NPM_TOKEN}" >> .npmrc
        env:
          NPM_TOKEN: ${{ secrets.NPM_TOKEN }}
      - run: npm ci
      - run: npm run build --if-present
      - run: npm test

配置说明 #

• actions/setup-node添加registry-url参数后，会自动配置npm全局默认源，避免源地址异常导致的安装失败
• 追加写入.npmrc的两行配置明确指定了你私有组织包的拉取源，以及对应源的鉴权token，npm执行安装时会自动读取该配置完成鉴权
• 原有配置里无意义的echo打印步骤可以直接删除，不影响流水线逻辑
• 配置提交后重新触发main分支流水线即可正常拉取私有包完成构建、测试流程

内容的提问来源于stack exchange，提问作者kevin