AWS CodePipeline无法拉取GitHub私有npm包的问题排查咨询

• 首次出现的404报错：CodePipeline的构建环境默认使用公共npm registry拉取所有依赖，没有配置@tihomir22这个scope对应的私有仓库地址，请求直接发去了公共npmjs源，自然找不到你发布在GitHub Packages里的私有包
• 后续出现的401报错：你把私有源配置加到项目根目录的.npmrc后，构建环境里没有配置对应GitHub Packages的有效认证凭证，匿名请求没有权限拉取私有包，会被GitHub直接拒绝

1. 调整项目仓库内的.npmrc配置 #

不要把你本地带私人token的.npmrc直接提交到代码仓库（会造成凭证泄露），项目根目录的.npmrc只需要保留scope到私有源的映射，不需要写硬编码token，正确配置内容为：

@tihomir22:registry=https://npm.pkg.github.com/

这个文件提交到代码仓库后，npm就能识别所有带@tihomir22前缀的包要从GitHub Packages拉取，不会错误请求公共npm源，从根源解决404问题。

2. 通过AWS安全机制注入GitHub Packages认证凭证 #

GitHub Packages要求所有拉取私有包的请求必须携带具备包读取权限的Personal Access Token（PAT），绝对不要把这个token硬编码写到项目代码里，结合CodeBuild的流程可以按以下方式配置：

• 先在GitHub创建一个权限范围仅勾选read:packages的PAT，确保这个账号对你发布库的仓库有读取权限
• 打开AWS Systems Manager Parameter Store，把这个PAT存储为SecureString类型的安全参数，比如命名为GITHUB_NPM_READ_TOKEN
• 打开对应CodeBuild项目的环境配置，把上面存储的参数导入为构建环境变量，AWS会自动隐藏这个变量的值，不会在构建日志里明文显示
• 在buildspec.yml的预构建阶段，动态把认证配置追加到项目的.npmrc文件里，示例配置：

pre_build:
  commands:
    # 动态生成认证配置，不需要写死在代码里
    - echo "//npm.pkg.github.com/:_authToken=${GITHUB_NPM_READ_TOKEN}" >> .npmrc
    # 可选排查命令：确认配置写入成功
    - cat .npmrc
    - npm ci

上面的命令执行完成后，.npmrc里会同时存在两个必要配置：scope到私有源的映射、GitHub Packages的认证token，npm拉取私有包时就不会再出现401错误。

3. 常见踩坑核对 #

• 不要把带私人token的.npmrc提交到Git仓库，一旦泄露，GitHub会自动扫描代码仓库并吊销对应token
• 如果你之前把带私人token的.npmrc提交到了公开代码仓库，就算配置写对了，也会因为token被自动吊销报401，需要重新生成新的PAT
• 确认PAT的权限范围：如果你的包发布在组织账号下，需要给PAT授权对应组织的Packages读取权限，否则会因为权限不足报401
• 检查npm配置的加载优先级：CI构建环境里没有你本地用户主目录下的.npmrc配置，所有构建需要的npm配置必须在构建流程中完成配置，不要依赖本地环境的配置
• 如果还是有问题，可以在构建步骤里临时打印.npmrc的内容，确认配置是否正确写入、token是否被成功替换

内容的提问来源于stack exchange，提问作者Jarvan Jarvencio