咨询：AWS CodePipeline的CodeDeploy阶段无法下载GitHub私有包

常见根因与校验步骤 #

• npm安装环节的认证未正确透传
  GitHub源连接的权限仅覆盖代码仓库的拉取流程，不会自动延伸到部署阶段的npm私有包拉取场景。即便v2连接状态显示正常，CodeDeploy执行npm install时如果没有匹配的认证配置，请求会走公共npmjs的匿名通道，私有包不在公共源上就会直接返回404。
  校验要点：
• 检查安装环节的.npmrc配置，是否正确配置GitHub Packages私有源的地址，是否残留了旧的v1连接对应的失效认证token
• 确认配置的认证token权限和当前v2连接的身份匹配，没有硬编码的过期凭证
• GitHub App的授权粒度不满足私有包访问要求
  仅给App开放项目仓库、私有包仓库的代码拉取权限不足以访问包资源。个人账号下托管的GitHub私有包，需要单独给App开放对应包的读取权限，否则App身份访问私有包时，会被GitHub侧按未授权处理。
  注意：GitHub对无权限访问的私有资源会统一返回404而非403，不会泄露资源本身的存在性，这类场景和资源路径不存在的报错表现完全一致。
• 私有包的源映射配置错误
  检查npm的作用域映射是否缺失：如果私有包是@<你的GitHub用户名>/<包名>的格式，必须在.npmrc中配置@<你的GitHub用户名>:registry=https://npm.pkg.github.com/的规则，否则npm会把该私有包当成公共npmjs上的同名资源发起请求，自然会因为公共源上不存在该资源返回404。同时核对package.json里的包名、版本号是否有拼写错误，错误的资源路径同样会触发404。
• CodeDeploy执行角色的权限缺失
  如果采用AWS Secrets Manager存储GitHub私有包的认证token，需确认关联的CodeDeploy执行角色，具备拉取对应secret的权限，避免token拉取步骤静默失败，导致最终安装环节仍以匿名身份请求私有包资源。

内容的提问来源于stack exchange，提问作者Omar Dulaimi