Azure Pipeline配置：从制品源安装指定私有依赖模块

核心实现逻辑是通过npm的scope级源规则，给目标私有类库单独指定Azure Artifacts源地址，其余公共依赖默认走公共npm源，全程不需要全局修改npm registry配置。

前置配置 #

在项目根目录新建.npmrc文件，写入如下配置，替换占位符为你实际的组织、源、私有包scope信息：

; 所有非scope匹配的公共包默认走npm官方源
registry=https://registry.npmjs.org/
; 仅匹配@your-private-scope前缀的包走Azure Artifacts源
; 替换<azure-devops-org>为你的Azure DevOps组织名
; 替换<artifacts-feed-name>为存储私有类库的制品源名称
; 替换@your-private-scope为你私有类库对应的npm scope（比如私有包名是@mycompany/common-ui，scope就是@mycompany）
@your-private-scope:registry=https://pkgs.dev.azure.com/<azure-devops-org>/_packaging/<artifacts-feed-name>/npm/registry/
always-auth=true

流水线YAML调整 #

把你原有YAML里的**TASK TO INSTALL MY LIBRARY FROM ARTIFACT**占位块替换为npm认证任务即可，不需要单独执行私有包安装命令——后续执行通用npm install时，npm会自动根据.npmrc的规则，把匹配scope的私有类库从Azure Artifacts拉取，其余所有依赖都从公共npm源拉取，完全满足仅特定类库走制品注册表的要求。

调整后的完整YAML参考：

pool:
  name: Azure Pipelines

steps:
- task: NodeTool@0
  displayName: 'Use Node 14.x'
  inputs:
    versionSpec: 14.x

- task: Npm@1
  displayName: 'npm install angular-cli'
  inputs:
    command: custom
    verbose: false
    customCommand: 'install -g @angular/cli@12.1.1'

# 新增：Azure Artifacts源认证，自动注入流水线凭据，无需手动配置PAT
- task: npmAuthenticate@0
  displayName: 'Authenticate to Azure Artifacts private feed'
  inputs:
    workingFile: .npmrc
    # 跨项目访问制品源时，此处填写提前配置好的npm服务连接名；同组织同项目可留空
    customEndpoint: ''

- task: Npm@1
  displayName: 'npm install'
  inputs:
    verbose: false

- task: Npm@1
  displayName: 'create build'
  inputs:
    command: custom
    verbose: false
    customCommand: 'run build'

# 后续部署任务保持原有逻辑不变
# - ...task to deploy

注意事项 #

• 禁止在流水线中执行npm config set registry全局替换默认源为Azure Artifacts地址，否则所有npm包都会走制品源拉取，不符合仅特定私有包走制品注册表的要求，还会拖慢安装速度。
• 提前给流水线使用的构建服务账号分配目标Azure Artifacts源的*读者（Reader）*权限，否则拉取私有包时会报403权限错误。
• 如果你确实需要单独提前安装该私有类库（无特殊需求不推荐，会增加冗余步骤），可以在认证任务后追加如下任务：

- task: Npm@1
  displayName: 'Install private library'
  inputs:
    command: custom
    customCommand: 'install @your-private-scope/your-private-lib-name --save'

• 不要在.npmrc文件中硬编码任何token、密码信息，npmAuthenticate任务会在流水线运行时自动注入临时凭据，运行结束后自动清理，不会产生凭据泄露风险。

内容的提问来源于stack exchange，提问作者Lorem ipsum