如何限制Azure DevOps Artifacts私有npm库仅通过Azure Pipelines发布

第一步：调整Azure Artifacts Feed的用户权限 #

• 进入自托管Azure DevOps Server对应项目的Artifacts模块，找到存放私有npm包的目标Feed
• 点击Feed右上角的齿轮设置图标，进入「Feed settings」-「Permissions」页面
• 删除或调整所有普通开发人员的权限配置：仅保留读取权限，移除「协作方（Contributor）」「所有者」等带有发布权限的角色分配
• 保留Project Collection Build Service (你的项目集合名称)、[项目名称] Build Service ([项目集合名称])两个服务账号的「协作方（Contributor）」权限，确保Azure Pipelines具备包发布权限

第二步：规范Pipeline发布凭证配置 #

• 检查npm包发布Pipeline，确保发布环节使用Azure DevOps内置的npmAuthenticate任务获取发布凭证，禁止将个人访问令牌（PAT）硬编码在Pipeline配置或.npmrc文件中
  标准Pipeline任务配置参考：

  - task: npmAuthenticate@0
    inputs:
      workingFile: .npmrc
  - script: npm publish
    displayName: '发布npm包到Azure Artifacts'
  

• 确认代码仓库中提交的.npmrc文件仅包含私有Feed的地址信息，不携带任何认证token，避免本地用户直接获取可用的发布凭证

第三步（可选）：添加包层面的发布拦截逻辑 #

可在npm包的package.json中添加prepublishOnly脚本，校验运行环境是否为Azure Pipelines，从包层面拦截本地发布行为：

{
  "scripts": {
    "prepublishOnly": "node -e \"if(!process.env.SYSTEM_TEAMPROJECTID) { console.error('禁止本地直接发布npm包，请通过Azure Pipelines发布'); process.exit(1) }\""
  }
}

说明：SYSTEM_TEAMPROJECTID是Azure Pipelines运行时自动注入的内置环境变量，本地开发环境默认不存在该变量

配置验证 #

配置完成后，在本地开发机执行npm publish命令会返回403权限错误，代表权限限制已生效；触发Pipeline运行，确认包可正常发布到Azure Artifacts即配置完成。

内容的提问来源于stack exchange，提问作者jordan