目录

1、撤消访问令牌

2、在CI/CD工作流中使用私有包

2.1 创建新的访问令牌

持续整合

持续部署

交互式工作流

CIDR白名单

2.2 将令牌设置为CI/CD服务器上的环境变量

2.3 创建并签入特定于项目的.npmrc文件

2.4 令牌安全

3、Docker和私有模块

3.1 背景：运行时变量

3.2 更新Dockerfile

3.3 构建Docker镜像

1、撤消访问令牌

为了确保您的帐户和软件包的安全，我们强烈建议您撤销（删除）不再需要或已被泄露的令牌。您可以撤销已创建的任何令牌。

npm token list

npm token delete 0a4d81

npm token create --read-only

npm token create

npm token create --cidr=[list]
npm token create --read-only --cidr=[list]

npm token create --cidr=192.0.2.0/24

2.2 将令牌设置为CI/CD服务器上的环境变量

在CI/CD服务器中将令牌设置为环境变量或密码。

例如，在GitHub Actions中，您可以将令牌添加为密钥
。然后，您可以将密钥设置为可用于工作流。

如果您将secret命名为NPM_TOKEN，那么您需要从该secret创建一个名为NPM_TOKEN的环境变量。

steps:
  - run: |
      npm install
  - env:
      NPM_TOKEN: ${{ secrets.NPM_TOKEN }}

2.3 创建并签入特定于项目的.npmrc文件

使用特定于项目的.npmrc文件和令牌的变量，以使用npm安全地验证CI/CD服务器。

1、在项目的根目录中，创建包含以下内容的自定义.npmrc文件：

//registry.npmjs.org/:_authToken=${NPM_TOKEN}

注意：您指定的是一个文本值${NPM_TOKEN}。npm cli会将这个值替换为NPM_TOKEN环境变量的内容。不要在此文件中放置令牌。

2.4 令牌安全

您的令牌可能有权读取私有包、代表您发布新包或更改用户或包设置。保护好你的令牌。

不要将令牌添加到版本控制中或以不安全的方式存储令牌。将其存储在密码管理器、云提供商的安全存储或CI/CD提供商的安全存储中。

如果可能，请使用具有最低必要权限的粒度访问令牌，并为令牌设置较短的到期日期。

3、Docker和私有模块

要在Docker容器中安装私有npm包，您需要使用Docker构建密钥。

3.1 背景：运行时变量

您不能仅使用运行时变量在Docker容器中安装私有npm包。考虑以下Dockerfile：

FROM node

COPY package.json package.json
RUN npm install

# Add your source files
COPY . .
CMD npm start

它将使用官方的Node.js镜像，将package.json复制到我们的容器中，安装依赖项，复制源文件并运行package.json中指定的start命令。

为了安装私有包，你可能会认为我们可以在运行npm install之前添加一行，使用ENV参数：

ENV NPM_TOKEN=00000000-0000-0000-0000-000000000000

然而，这并不像你期望的那样工作，因为你希望npm安装在你运行docker build时发生，在这个例子中，没有使用ENV变量，它们只为运行时设置。

你必须使用Docker构建秘密，而不是运行时变量。

3.2 更新Dockerfile

利用这一点的Dockerfile比前面的示例多了几行，允许我们使用您的全局.npmrc和在运行npm login命令时创建的访问令牌（如果您还没有运行它-请在继续之前运行它）。

# https://docs.npmjs.com/docker-and-private-modules
FROM node:18

ENV APP_HOME="/app"

WORKDIR ${APP_HOME}

COPY package*.json ${APP_HOME}/

RUN --mount=type=secret,id=npmrc,target=/root/.npmrc npm install

COPY . ${APP_HOME}/

CMD npm start

这将配置您的Dockerfile通过build secrets接收.npmrc文件，在npm依赖安装完成后不会留下任何痕迹。

3.3 构建Docker镜像

要使用上述Dockerfile和npm身份验证令牌构建镜像，可以运行以下命令。请注意，最后给予.将当前目录作为参数提供给docker build。

docker build . -t secure-app-secrets:1.0 --secret id=npmrc,src=$HOME/.npmrc

这将使用通过build secrets接收的全局.npmrc文件中的访问令牌构建Docker镜像，因此您可以作为当前登录用户在容器中运行npm install。

注意：您可能需要指定一个不同于默认/的工作目录，否则某些框架（如Angular）将失败。