Azure DevOps Server跨集合通过流水线访问npm registry报401如何解决？

排查步骤 #

• 检查PAT的权限和有效期：确认创建PAT的账号对Libraries集合下的npm feed至少有读取权限，PAT未过期，作用域包含Packaging (Read)权限，且作用范围覆盖Libraries集合，不要仅限制在Projects集合范围内。
• 检查服务连接配置：确认iconenpm服务连接的feed URL填写正确，格式应为http(s)://<你的ADO Server域名>/Libraries/_packaging/<feed名>/npm/registry/，不要误填为Projects集合的地址。
• 校验PAT编码逻辑：不要提前对PAT做BASE64编码，Azure DevOps的npm服务连接会自动处理编码逻辑，手动提前编码会导致实际传给npm的token无效。
• 检查.npmrc文件优先级：npm运行时会优先读取项目根目录下的.npmrc文件，优先级高于用户目录的%userprofile%\.npmrc，如果项目根目录存在.npmrc且内置了该私有源的认证信息，会和服务连接注入的配置产生冲突。
• 手动验证PAT有效性：在流水线代理机器上手动执行命令npm install --registry <Libraries集合feed地址> --always-auth=true --userconfig %userprofile%\.npmrc，验证是否可以正常拉取包，排除代理环境配置问题。

解决方案 #

• 修正服务连接配置：如果提前对PAT做了BASE64编码，直接将服务连接里的token替换为原始未编码的PAT字符串。
• 调整Npm任务配置：如果项目根目录存在.npmrc文件，显式指定认证源，修改任务配置如下：

- task: Npm@1
  displayName: 'npm install'
  inputs:
    command: 'install'
    customRegistry: 'useFeed'
    feed: '<Libraries集合下的项目名>/<feed名>'
    customEndpoint: 'iconenpm'

• 清理项目内.npmrc配置：如果需要保留项目根目录的.npmrc文件，删除文件内和该私有源相关的认证配置，仅保留源地址即可，认证信息由服务连接自动注入。
• 手动注入认证信息：若以上方案仍无效，可在Npm任务前添加脚本任务，主动写入认证配置：

- script: |
    echo "//<你的ADO Server域名>/Libraries/_packaging/<feed名>/npm/registry/:_password=$(BASE64_PAT)" >> .npmrc
    echo "//<你的ADO Server域名>/Libraries/_packaging/<feed名>/npm/registry/:username=build" >> .npmrc
    echo "//<你的ADO Server域名>/Libraries/_packaging/<feed名>/npm/registry/:email=dev@example.com" >> .npmrc
    echo "//<你的ADO Server域名>/Libraries/_packaging/<feed名>/npm/registry/:always-auth=true" >> .npmrc
  env:
    BASE64_PAT: <BASE64编码后的PAT>
  displayName: '写入npm源认证信息'

内容的提问来源于stack exchange，提问作者Manuel Kroiß