GitLab CI 13.9下validation分支私有npm包安装失败是什么原因？

核心根因 #

validation分支的CI运行环境未成功读取到私有npm鉴权变量NPM_TOKEN，导致生成的.npmrc鉴权配置失效，Yarn无法从私有源拉取对应包，自动降级到公共registry.yarnpkg.com查找私有包，最终抛出404错误。

具体触发场景 #

• CI变量NPM_TOKEN配置了分支访问限制
  GitLab CI变量支持自定义分支/环境访问范围，如果你配置NPM_TOKEN时仅开放了develop分支的读取权限，哪怕validation是受保护分支，也无法获取该变量值，最终生成的.npmrc中_authToken字段为空，私有源鉴权失败。
• validation分支yarn.lock与develop分支不一致
  你仅确认了两个分支package.json完全相同，若validation分支的yarn.lock中将私有包@company/name-of-my-package的源硬编码为公共的https://registry.yarnpkg.com，哪怕鉴权配置正常，Yarn也会直接从公共源拉取包触发404。
• NPM_TOKEN保护规则配置错误
  部分旧版本GitLab中，若NPM_TOKEN的保护规则设置为「仅对受保护标签生效」，也会导致受保护的普通分支无法读取该变量。

排查方案 #

1. 进入项目「设置」→「CI/CD」→「变量」页面，检查NPM_TOKEN的配置，确认分支访问范围包含validation分支，未设置额外权限限制
2. 对比两个分支的yarn.lock文件，确认私有包的注册源配置完全一致
3. 在install_dependencies任务的script开头添加echo $NPM_TOKEN日志，验证变量在validation分支的CI任务中是否正常输出

内容的提问来源于stack exchange，提问作者Nicolas R