Node项目CircleCI流程中无需个人令牌混用NPM与GitHub包注册表

我来帮你搞定这个问题——在CircleCI流水线里同时用npm官方源和GitHub Packages，又不想绑定个人账号的令牌，核心思路是用独立的机器身份来做身份验证，下面有两个实用方案，按需选择：

方案一：创建GitHub机器用户（简单易上手） #

这个方案适合小团队或者快速落地的场景，本质是用一个专门的"机器人账号"来拉取GitHub Packages：

• 注册一个新的GitHub账号作为机器用户，把它加入你的组织（需要组织管理员操作）
• 给这个机器用户分配对应仓库的权限：进入存放私有包的仓库，在「Settings > Manage access」里添加这个机器用户，权限只需要选Read（因为只需要拉取包，不需要推送）
• 给机器用户生成一个Personal Access Token（PAT）：进入机器用户的GitHub设置，找到「Developer settings > Personal access tokens」，生成令牌时只勾选read:packages权限，其他权限一律不选（最小权限原则，降低风险）
• 在CircleCI里配置环境变量：进入你的项目设置，添加一个名为GITHUB_PACKAGES_TOKEN的环境变量，值就是刚才生成的PAT，记得把变量设为Masked，避免日志泄露
• 调整项目根目录的.npmrc文件，加入令牌的环境变量引用：

  @你的用户名/组织名:registry=https://npm.pkg.github.com/
  //npm.pkg.github.com/:_authToken=${GITHUB_PACKAGES_TOKEN}
  

这样CircleCI运行时会自动把环境变量注入到.npmrc里，完成身份验证，而且这个令牌属于独立的机器用户，不会和个人账号绑定，就算员工离职也不影响。

方案二：使用GitHub App生成短期令牌（更安全，推荐） #

如果团队对安全性要求更高，推荐用GitHub App来生成短期令牌（默认有效期1小时），避免长期令牌泄露的风险：

• 在GitHub组织里创建一个新的GitHub App：进入组织的「Settings > Developer settings > GitHub Apps」，点击「New GitHub App」，设置如下：
  • 权限：在「Repository permissions」里找到「Packages」，权限设置为Read
  • 仓库访问：选择「Only select repositories」，勾选存放私有包的仓库
• 生成App的私钥：在App的设置页面，找到「Private keys」，点击「Generate a private key」，下载PEM格式的私钥文件
• 在CircleCI里配置环境变量：添加两个变量：
  • GITHUB_APP_ID：在App设置页面顶部的「About」里可以找到这个ID
  • GITHUB_APP_PRIVATE_KEY：把下载的PEM文件内容复制进去（注意保留换行符，或者用base64编码后存储，解码时再处理），同样设为Masked
• 在CircleCI的config.yml里添加生成令牌的步骤，比如用GitHub CLI来生成：

  jobs:
    build:
      steps:
        - checkout
        - run:
            name: Authenticate to GitHub Packages
            command: |
              echo "$GITHUB_APP_PRIVATE_KEY" > private-key.pem
              gh auth login --with-app --app-id $GITHUB_APP_ID --private-key private-key.pem --hostname github.com
              # 把生成的令牌写入.npmrc
              GH_TOKEN=$(gh auth token)
              echo "//npm.pkg.github.com/:_authToken=$GH_TOKEN" >> .npmrc
        - run: npm install
  

  如果你不想用GitHub CLI，也可以用Node脚本（比如借助@octokit/auth-app包）来生成令牌，逻辑是一样的。

关键注意事项 #

• 始终遵循最小权限原则：不管是机器用户的PAT还是GitHub App的权限，只给拉取包需要的Read权限，不要额外赋予其他权限
• CircleCI的环境变量一定要设为Masked，这样令牌不会在构建日志里明文显示
• 如果是组织内多个项目都需要用GitHub Packages，可以把环境变量设置在CircleCI的组织层面，避免重复配置
• 测试时可以在本地模拟环境变量，运行npm install验证是否能正常拉取私有包

内容的提问来源于stack exchange，提问作者Fur Nocte