.gitlab-ci.yml配置npm发布至GitLab仓库时报401未授权错误

• 配置逻辑存在漏洞：当前脚本仅在不存在.npmrc文件时才写入认证配置，若仓库内预置了旧版.npmrc、或前序步骤生成了无认证信息的.npmrc，认证配置逻辑会直接跳过，请求不会携带有效token。
• 缺少源级别的always-auth配置：单独执行的npm config set always-auth true属于全局配置，未绑定到GitLab npm源，npm执行npm view这类GET查询请求时，默认不会主动向源携带认证token，直接触发401。
• CI作业令牌权限限制：GitLab新版本默认对CI_JOB_TOKEN做了跨项目访问限制，若目标npm包不属于当前流水线所在项目，且未在项目设置中放开作业令牌的跨项目访问权限，即使token格式正确也会被拒绝。
• 作用域匹配风险：配置的作用域源绑定的是@${CI_PROJECT_ROOT_NAMESPACE}，如果实际包名的scope和根命名空间字符串不完全一致，npm不会将请求路由到配置了认证的源，会走无认证的公开请求路径。
• 路径匹配错误：若写入.npmrc的认证路径和实际请求的API路径存在拼写偏差（比如日志中出现的projet_id拼写错误），npm无法将请求地址和对应token绑定，会发起无认证请求。

• 移除.npmrc的存在判断逻辑，每次流水线执行时强制覆盖生成正确的配置文件，避免旧配置干扰。
• 在.npmrc中为GitLab npm源显式添加always-auth=true配置，强制所有请求（包括读、写请求）都携带认证token，不要依赖全局npm config设置。
• 核对包名scope与配置的作用域源完全匹配，执行npm相关命令时显式指定目标registry，避免CI变量取值偏差或源路由错误。
• 配置CI作业令牌访问权限：进入项目「设置 > CI/CD > 作业令牌」，将存放目标npm包的项目添加到允许访问列表，同时确认包仓库的访问权限已开放给CI作业。
• 增加认证校验步骤，在执行npm view或npm publish前，先通过npm whoami验证当前源的认证状态，提前排查配置问题。

修正后的配置示例 #

script:
  # 强制覆盖生成.npmrc，不做存在判断
  - |
    echo "@${CI_PROJECT_ROOT_NAMESPACE}:registry=${CI_API_V4_URL}/projects/${CI_PROJECT_ID}/packages/npm/" > .npmrc
    echo "//${CI_SERVER_HOST}/api/v4/projects/${CI_PROJECT_ID}/packages/npm/:_authToken=${CI_JOB_TOKEN}" >> .npmrc
    echo "//${CI_SERVER_HOST}/api/v4/projects/${CI_PROJECT_ID}/packages/npm/:always-auth=true" >> .npmrc
    echo "//registry.npmjs.org/:_authToken=${NPM_ACCESS_TOKEN}" >> .npmrc
    echo "//registry.npmjs.org/:always-auth=true" >> .npmrc
  # 读取包名
  - NPM_PACKAGE_NAME=$(node -p "require('./my-package/package.json').name")
  # 先验证GitLab npm源认证状态
  - npm whoami --registry "${CI_API_V4_URL}/projects/${CI_PROJECT_ID}/packages/npm/"
  # 判断包是否存在，不存在则执行发布
  - |
    if ! npm view "${NPM_PACKAGE_NAME}" --registry "${CI_API_V4_URL}/projects/${CI_PROJECT_ID}/packages/npm/"; then
      echo "Target package not exist, start publishing"
      cd my-package && npm publish --registry "${CI_API_V4_URL}/projects/${CI_PROJECT_ID}/packages/npm/"
    fi

内容的提问来源于stack exchange，提问作者Haru