Windows代理环境下无需存储密码访问NPM的方案咨询

我来帮你搞定这个NPM在企业代理下的身份验证难题，结合你提到的两个方案的痛点，给你几个更安全还省心的解决办法：

问题梳理 #

我在Visual Studio 2017及命令行中使用NPM时，遇到企业代理拦截的问题——原因是NPM访问http://registry.npmjs.org/时不支持Windows身份验证。现有的两种方案都有明显缺陷：

1. 常规代理配置会把密码以BASE64编码形式存在NPM配置里，安全性极差
2. 每次执行NPM命令手动指定代理，虽然避免了密码存储，但操作太繁琐，效率很低

安全且便捷的解决方案 #

方案1：用CNTLM中转代理自动处理身份验证 #

CNTLM是一款开源的代理中转工具，可以帮你在本地搭建一个无需手动输入密码的代理，自动完成Windows域身份验证：

• 先安装CNTLM，然后在配置文件里设置企业代理地址、你的域账号，它会存储哈希后的凭据（不是明文或Base64）
• 把NPM的代理指向本地的CNTLM服务，执行以下命令：

  npm config set proxy http://localhost:3128
  npm config set https-proxy http://localhost:3128
  

  之后NPM访问外部仓库时，会通过本地代理自动完成企业身份验证，NPM配置里不会留下任何敏感信息。

方案2：借助Windows凭据管理器存储代理密码 #

NPM支持从Windows系统凭据管理器读取代理密码，配置步骤如下：

1. 先设置NPM的代理地址（只填用户名，不填密码）：

   npm config set proxy http://你的域账号@企业代理地址:端口/
   npm config set https-proxy http://你的域账号@企业代理地址:端口/
   

2. 打开Windows凭据管理器（可以通过控制面板搜索找到），添加一个「通用凭据」，目标地址填http://企业代理地址:端口，用户名和密码填你的域账号信息
3. 最后设置NPM使用NTLM身份验证：

   npm config set proxy-auth ntlm
   

   这样NPM每次访问代理时，会自动从系统凭据管理器取密码，不会把密码存在NPM配置里，安全性拉满。

方案3：Visual Studio 2017专属配置 #

如果主要在VS2017里用NPM，可以直接在IDE里配置，不用折腾命令行：

• 打开VS2017，依次点击「工具」→「选项」→「环境」→「Web 代理」
• 选择「使用系统代理设置」，然后勾选「使用Windows身份验证」
• 保存后，VS2017内置的NPM会自动用这个配置，完全不用额外操作。

方案对比 #

内容的提问来源于stack exchange，提问作者Adam