同名公共npm包发布后是否会影响本地私有未发布包的npm install操作？

核心结论 #

首先分两种场景判断是否受影响：

• 如果你是在foo-test私有包本身的项目根目录执行npm install，完全不会受公共registry同名包的影响。
  这种场景下npm只会安装当前项目package.json中声明的各类依赖，不会主动拉取和当前项目同名的公共包。你配置的private: true仅用于阻止你不小心执行npm publish把私有包发布到公共仓库，和该场景下的install逻辑没有关联。

• 如果你是在其他项目中依赖了这个私有foo-test包，且没有做额外的源配置/依赖地址指定，会有依赖混淆的风险。
  这种场景下npm默认会优先从公共registry搜索匹配的包，如果公共仓库存在同名的foo-test包（不管版本是否匹配你的预期），npm都会拉取公共版本而不会使用你本地的私有包，这就是你提到的依赖混淆攻击的典型表现。

风险规避方案 #

你可以通过以下任意一种方式从根源避免问题：

• 给所有私有包加上专属组织scope，比如命名为@your-org/foo-test。公共npm registry的组织名是唯一的，你只要注册了对应组织，其他人无法在公共仓库发布同scope下的包，直接避免重名问题。
• 不在依赖中直接写包名+版本号，而是明确指定私有包的来源：比如指定本地路径"foo-test": "file:../local-path/foo-test"，或者指定私有git仓库地址"foo-test": "git+ssh://git@your-git-repo/foo-test.git#v0.0.0"。
• 配置.npmrc规则，将所有私有包的拉取源指向你们内部的私有registry，避免npm去公共仓库搜索对应的私有包。

内容的提问来源于stack exchange，提问作者Roddy of the Frozen Peas