如何在执行npm publish前预先检测是否具备npm包发布权限

npm publish --dry-run确实无法校验发布权限，这个命令的执行逻辑完全在本地完成，只会校验package.json格式、生成发布tar包预览，不会向目标registry发送权限校验请求，所以只要本地文件合法，不管账号有没有发布权限都会返回成功。
你可以通过以下无副作用的只读方式完成权限检查，不会产生任何实际发布操作：

• 先校验基础登录状态
  首先运行npm config get registry确认当前连接的是你要发布的目标源（官方npm源/公司私有源等），再运行npm whoami：如果命令正常返回当前登录的账号名，说明登录态有效；如果返回401、403报错，说明账号未登录或没有当前源的基础访问权限，无法执行发布操作。
• 用npm access命令做精确权限校验
  • 针对已存在的包：运行npm access ls-collaborators <目标包名>，命令会返回该包所有协作者的权限列表，对照npm whoami返回的账号名，确认对应账号是否拥有write/publish级别的权限即可。
  • 针对scoped包（格式为@scope/包名，包括未创建的新包场景）：运行npm access ls-packages <当前登录账号名>，返回结果会列出该账号在当前源下所有有权限操作的包、scope及对应权限，确认你要发布的scope是否对当前账号开放了写入权限即可。

注意：部分第三方私有npm源（比如定制修改版Nexus、老版本Verdaccio）可能没有实现npm access相关接口，这种场景下你可以用一个不会和线上冲突的测试包名，搭配不会被用户默认安装的临时tag（比如npm publish --tag perm-check-temp）做一次测试发布，验证权限后立即执行npm unpublish <测试包名>@<测试版本号> --force删除临时发布的内容即可。该方法仅建议在私有源使用，公共npm源不建议频繁执行unpublish操作。

内容的提问来源于stack exchange，提问作者neverendingqs