私有仓库身份认证核心是通过.npmrc文件按作用域分层配置凭据，支持npm login、环境变量、命令行参数等多种方式，推荐使用token而非账号密码，并需统一npm及相关工具链的registry配置。
私有仓库的身份认证是 npm 依赖管理中绕不开的一环，核心在于让 npm CLI 或相关工具（如 npm install、npm publish、ncu、npm_lazy）能安全、自动地向私有 registry 提交凭据。认证本身不复杂，但配置位置和优先级容易出错。
认证信息存哪儿？.npmrc 是主战场
npm 所有认证信息最终都落脚在 .npmrc 文件里，它按作用域分层生效：
-
项目级：项目根目录下的
.npmrc，只影响当前项目 -
用户级：默认为
~/.npmrc，影响当前用户所有本地操作 -
全局级：通常不用手动改，由
npm config --global写入
当你执行 npm login --registry https://npm.company.com，它会把 token 写进用户级 .npmrc，格式类似：
//npm.company.com/:_authToken=xxxx-xxxx-xxxx
如果私有包带 scope（比如 @company/utils），推荐用 scope 绑定 registry：
@company:registry=https://npm.company.com<br>//npm.company.com/:_authToken=xxxx-xxxx-xxxx
多种方式都能写入凭据，选对场景很关键
不是所有情况都适合 npm login 交互式登录：
-
CI/CD 流水线：用环境变量更安全，例如设置
NPM_CONFIG_REGISTRY=https://npm.company.com和NPM_CONFIG__AUTH_TOKEN=xxxx -
脚本化部署：可直接向
.npmrc追加内容，避免交互阻塞 -
多 registry 混合使用：靠 scope 配置最清晰，比如
@internal/*走内网仓库，@external/*走另一套 -
临时调试：命令行参数最直接，如
npm install @company/pkg --registry https://npm.company.com
token 比账号密码更推荐
现代 npm registry（包括 Verdaccio、Nexus、npmjs.com）都支持 token 认证，比明文用户名密码更安全：
- token 可单独吊销，不影响其他凭证
- 支持细粒度权限（如只读、只发布）
- 可通过
npm token create生成，npm token list查看，npm token revoke <id></id>删除 - Verdaccio 等私有仓库也兼容该协议，只要 registry 支持
/-/user/token接口
工具链要统一 registry 视角
光配好 npm 不够，其他工具也要对齐：
-
npm-check-updates：用--registry https://npm.company.com或提前设好NPM_CONFIG_REGISTRY -
npm_lazy：它本身不存凭据，而是转发客户端请求头里的Authorization或_authToken；所以只要你的npm install能通，npm_lazy就能代你连私有库 -
verdaccio服务端：需在config.yaml中启用htpasswd或插件认证，并确保packages规则允许对应用户访问
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
