使用node:16作为基础镜像时Dockerfile内执行npm ci报401未授权错误

根本原因 #

该问题由Node 16与Node 14预装的npm版本鉴权逻辑差异导致：
Node 16镜像默认预装npm 7.x版本，该版本新增了前置鉴权校验逻辑，执行安装操作前会先校验所有配置的包源对应鉴权信息的有效性，哪怕待拉取的全部是公开包。只要出现以下任意一种情况就会触发401报错：

• package-lock.json由npm 6.x版本生成，锁文件中残留私有源的包地址
• 本地构建环境配置过私有源鉴权，但未将有效.npmrc文件带入Docker构建上下文
• 当前npm配置的包源与锁文件中记录的包源不匹配

而Node 14镜像默认预装npm 6.x版本，仅在拉取私有包时才会校验鉴权信息，拉取公开包时不会做前置校验，因此替换为node:14镜像后报错消失。

通用解决方案 #

以下方案无需更换Node基础镜像，可适配所有场景：

• 方案1：降级npm到6.x版本兼容旧逻辑
  在Dockerfile的RUN npm ci步骤前新增npm降级命令即可：

  RUN npm install -g npm@6
  RUN npm ci
  

• 方案2：补充有效.npmrc配置到构建上下文
  在项目根目录新增.npmrc文件，配置使用的包源地址，公共源可直接填写：

  registry=https://registry.npmjs.org/
  

  再在Dockerfile中复制依赖声明文件的步骤后新增复制.npmrc的命令：

  COPY package*.json .npmrc ./
  RUN npm ci
  

  若使用私有源，可通过Docker构建参数传递鉴权token，避免明文提交到代码仓库。
• 方案3：执行npm ci时强制指定包源
  直接在npm ci命令后追加--registry参数指定公共源，忽略锁文件中的源配置：

  RUN npm ci --registry=https://registry.npmjs.org/
  

• 方案4：重新生成适配npm 7.x的锁文件
  本地环境升级到npm 7.x后，删除旧的package-lock.json，重新执行npm install生成新的锁文件，确认所有包的源地址统一无私有源残留后，再提交到代码仓库进行构建。

内容的提问来源于stack exchange，提问作者The Fool