从 Github Action 中检索 Github Registry npm 包

Question

我已成功将 @myorganization/my-super-lib 部署为 GH npm 包。现在我想在另一个 GH 项目中使用它。

这是一个私有库，也是一个私有项目（重要的是要记住，因为这一点与公共库没有实际意义）。

在本地，没问题，只需在我的 npm 配置中使用我的个人令牌添加正确的 authtoken 配置即可。

现在，当使用 Github Actions 时，我不确定令牌访问库包的优雅解决方案是什么。文档说要使用个人文档，但是如果我离开组织怎么办？我也可以为此使用专门的技术帐户，但这似乎不是“正确”的解决方案。

有人有更好的主意吗？

在cmets之后编辑：一开始我以为我可以简单地使用GITHUB_TOKEN，但是它被限制为只能访问当前存储库，从安全角度考虑这是合乎逻辑的。

Answer 1

currently 没有比使用个人访问令牌更好的选择，即：

• 从具有读取权限的帐户创建个人 read:packages 访问令牌
• 将该令牌作为“秘密”插入到存储库（您在其中执行 Github 操作）
• 通过 Github Actions Workflow 中的 Secrets 访问令牌，以验证并安装存储在 Github Registry 中的依赖项

Answer 2

要使用 Github 操作来安装 私人 github 包，您还需要在

• actions/setup-node@v1：定义包注册表的范围
• npm install：使用 personal access token 和 read, repo 访问权限。此令牌应由有权访问您使用的私有 github 包的任何 github 帐户创建，并存储为使用该操作的 repo 的秘密。

注意：--ignore-scripts 是一个可选标志，可针对可能窃取您的个人访问令牌的恶意脚本添加额外保护

示例：

    steps:
      - uses: actions/checkout@v2

      - uses: actions/setup-node@v1
        with:
          node-version: '12.x'
          registry-url: 'https://npm.pkg.github.com'
          scope: '@antecha'

      - run: npm install --ignore-scripts
        env:
          NODE_AUTH_TOKEN: ${{ secrets.PERSONAL_ACCESS_TOKEN }}

更新：
示例回购：https://github.com/antecha/survey

• 我提到的个人访问令牌可以由有权访问私有注册表的 ANY 帐户创建。对于组织来说，最好是在 github 上创建一个 admin-profile/account，仅用于管理此类令牌或/和组织对 3rd 方应用程序的 github 身份验证。

Answer 3

我个人使用该脚本 (.github/workflows/my-super-workflow-file.yml)

name: CI

on: [push]

jobs:
  build:

    runs-on: ubuntu-latest

    steps:
      - uses: actions/checkout@v1
      - name: Setup node
        uses: actions/setup-node@v1
        with:
          node-version: '10.x'
          registry-url: 'https://npm.pkg.github.com'
      - run: npm install --ignore-scripts
        env:
          NODE_AUTH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
      - run: npm test