ElasticBeanstalk部署安装canvas模块时遇node-pre-gyp EACCES权限错误

实际故障表现 #

• 部署时package.json声明安装canvas@2.7.0，但日志显示实际触发安装流程的版本为canvas@2.6.1，安装过程触发node-pre-gyp --fallback-to-build流程中断
• eb-engine.log记录连续多类EACCES权限拒绝问题：
  • 无法在/var/app/staging/node_modules/@tensorflow/tfjs-node/deps路径下创建目录
  • 对canvas模块本地构建目录、.node-gyp临时目录无写入权限
  • 执行安装流程的用户为healthd，无权限访问root路径下的/root/.cache/node-gyp缓存目录
• 已经在package.json中配置匹配版本要求的Node.js、npm引擎规则，也同步在.npmrc完成对应配置，生产环境依赖安装仍因canvas模块安装脚本执行失败中断

核心问题定位 #

故障是两个独立问题叠加导致，和已经配置的引擎版本规则、常规npm配置无直接关联：

1. 依赖版本错配：package.json指定的canvas 2.7.0版本被传递依赖强制覆盖为2.6.1（绝大多数场景为@tensorflow/tfjs-node内置的canvas版本锁约束），旧版本canvas的安装逻辑会触发node-pre-gyp的本地编译fallback流程，进入需要写入本地文件目录的环节
2. 执行权限错位：EB平台默认的npm安装流程执行用户为healthd，该用户既没有对staging部署目录的写入权限，也没有权限访问root专属的系统缓存路径，一旦触发文件写入操作，就会连续抛出权限拒绝报错

分步排查与解决操作 #

• 从根源修正依赖版本错配，避免触发高权限需求的本地编译流程
• 本地执行npm ls canvas遍历全量依赖树，定位强制将canvas版本锁定在2.6.1的上游依赖来源
• 在package.json中新增overrides字段，强制全局对齐canvas版本到目标的2.7.0版本，消除传递依赖的版本覆盖逻辑
• 适配EB部署流程的权限要求，消除EACCES报错
• 在项目根目录的.ebextensions配置下新增部署前置规则，开放/var/app/staging路径对healthd用户的读写权限，避免创建依赖目录、构建目录时触发权限拒绝
• 修改项目下的.npmrc配置，将node-gyp的缓存目录、npm的全局缓存目录从root专属路径（/root/.cache）迁移到公共可访问的临时路径，比如配置node-gyp-cache=/tmp/node-gyp、cache=/tmp/npm-cache，避开root路径的访问权限限制
• 兜底规避本地编译的权限依赖
• 若不需要自定义canvas编译逻辑，可在.npmrc中配置node-pre-gyp的预编译包拉取规则，当安装流程成功获取匹配运行平台的预编译canvas包时，不会触发需要写入构建临时目录的fallback编译流程
• 在EB部署前置脚本中预先创建/tmp/node-gyp临时目录，给所有系统用户开放读写权限，避免安装流程因找不到可写临时目录中断

内容的提问来源于stack exchange，提问作者Amit Shakya