如何使用npmjs自动化令牌（Automation Token）？

CI/CD 流程使用（最常见场景） #

• 第一步：将创建好的 Automation Token 存入对应CI平台的机密变量中，变量名一般命名为NPM_TOKEN即可，绝对不要硬编码到代码、公开配置文件中。
• 第二步：在项目根目录添加.npmrc配置文件，写入以下内容：

//registry.npmjs.org/:_authToken=${NPM_TOKEN}

如果使用第三方私有npm源，需要将上面的registry.npmjs.org替换为你的私有源地址。

• 第三步：CI流程执行npm publish操作时，平台会自动将机密变量NPM_TOKEN的值注入到配置中，无需额外操作即可正常跳过2FA完成发布。

本地临时使用方式 #

如果需要在本地环境临时使用该令牌执行发布操作，可直接在命令前注入环境变量：

NPM_TOKEN=你的AutomationToken值 npm publish

注意：该方式会将令牌存入本地shell命令历史，仅建议测试时临时使用，不要用于常规操作。

注意事项 #

• 配置.npmrc时不要直接写入明文令牌，避免误提交到代码仓库造成权限泄露。
• 按需设置令牌的有效期和权限范围，不要授予超出使用需求的额外权限。
• 如果发布的是组织下的包，需要提前确认该令牌拥有对应组织包的发布权限。

内容的提问来源于stack exchange，提问作者bgoosman