สร้าง .npmrc เพื่อดึงแพ็กเกจจาก Azure Artifacts npm private feed

1ภาพรวม: ไฟล์ไหนทำอะไร

Azure Artifacts ใช้ไฟล์ .npmrc เพื่อให้ npm client รู้ว่า "ไปดึงแพ็กเกจที่ไหน" และ "พิสูจน์ตัวตนอย่างไร" Microsoft แนะนำให้แยกเป็น สองไฟล์: ไฟล์ระดับโปรเจกต์เก็บ URL ของ feed (commit ลง git ได้) ส่วนไฟล์ระดับผู้ใช้ ~/.npmrc เก็บ credential (ห้าม commit)

2สิ่งที่ต้องมีก่อนเริ่ม

• Node.js + npm เวอร์ชัน LTS ที่ยังได้รับ support (Microsoft Learn ไม่ได้ระบุเวอร์ชันขั้นต่ำ) ตรวจด้วย node -v และ npm -v
• Azure DevOps organization, project และ feed ที่สร้างไว้แล้ว (Artifacts > Create Feed)
• สิทธิ์บน feed อย่างน้อย Feed Reader สำหรับอ่านแพ็กเกจที่อยู่ใน feed แล้ว หากต้องการติดตั้งแพ็กเกจจาก upstream (เช่น npmjs.com) เป็นครั้งแรก ต้องเป็น Feed and Upstream Reader (Collaborator) ขึ้นไป เพราะการติดตั้งครั้งแรกจะบันทึกสำเนาลง feed
• Personal Access Token (PAT) ที่มี scope Packaging (Read) สำหรับดึงแพ็กเกจที่อยู่ใน feed แล้ว (ถ้าต้องดึงจาก upstream ครั้งแรก ใช้ Read & write ดูหมายเหตุด้านล่าง)

ภาพจำลอง: หน้าต่างสร้าง PAT

ชื่อปุ่มและเมนูจริงอาจต่างจากภาพนี้ตามเวอร์ชันของ Azure DevOps PAT จะแสดงให้เห็น ครั้งเดียว หลังกด Create ให้คัดลอกเก็บในที่ปลอดภัยทันที

3รูปแบบ URL ของ feed

ตอนสร้าง feed คุณเลือก Scope ว่าเป็น project-scoped หรือ organization-scoped รูปแบบ URL ต่างกัน:

ลงท้าย / เสมอ และต้องลงท้าย /npm/registry/ สำหรับบรรทัด registry=

4.npmrc ของโปรเจกต์ (commit ลง git)

สร้างไฟล์ .npmrc ไว้ในโฟลเดอร์เดียวกับ package.json ไฟล์นี้มี URL เท่านั้น ไม่มี credential

registry=https://pkgs.dev.azure.com/<ORG>/_packaging/<FEED>/npm/registry/

registry=https://pkgs.dev.azure.com/<ORG>/<PROJECT>/_packaging/<FEED>/npm/registry/

@myscope:registry=https://pkgs.dev.azure.com/<ORG>/<PROJECT>/_packaging/<FEED>/npm/registry/

ควรเลือกแบบไหน

5Credentials (ไฟล์ระดับผู้ใช้)

5a. Windows: vsts-npm-auth

บน Windows ใช้ tool vsts-npm-auth ที่สร้างและต่ออายุ token ลงไฟล์ user-level ให้อัตโนมัติ (ไม่รองรับ Azure DevOps Server และไม่รองรับ macOS/Linux)

npm install -g vsts-npm-auth --registry https://registry.npmjs.com

vsts-npm-auth -config .npmrc

5b. macOS / Linux: ~/.npmrc + PAT (base64)

printf 'PAT (ไม่แสดงตัวอักษร): ' && read -rs PAT && echo
printf '%s' "$PAT" | base64 | tr -d '\n'; echo
unset PAT

node -e "require('readline').createInterface({input:process.stdin,output:process.stdout,historySize:0}).question('PAT> ',p=>{console.log(Buffer.from(p.trim()).toString('base64'));process.exit();})"

; begin auth token
//pkgs.dev.azure.com/<ORG>/<PROJECT>/_packaging/<FEED>/npm/registry/:username=anything
//pkgs.dev.azure.com/<ORG>/<PROJECT>/_packaging/<FEED>/npm/registry/:_password=<BASE64_PAT>
//pkgs.dev.azure.com/<ORG>/<PROJECT>/_packaging/<FEED>/npm/registry/:email=not-used@example.com
//pkgs.dev.azure.com/<ORG>/<PROJECT>/_packaging/<FEED>/npm/:username=anything
//pkgs.dev.azure.com/<ORG>/<PROJECT>/_packaging/<FEED>/npm/:_password=<BASE64_PAT>
//pkgs.dev.azure.com/<ORG>/<PROJECT>/_packaging/<FEED>/npm/:email=not-used@example.com
; end auth token

; begin auth token
//pkgs.dev.azure.com/<ORG>/_packaging/<FEED>/npm/registry/:username=anything
//pkgs.dev.azure.com/<ORG>/_packaging/<FEED>/npm/registry/:_password=<BASE64_PAT>
//pkgs.dev.azure.com/<ORG>/_packaging/<FEED>/npm/registry/:email=not-used@example.com
//pkgs.dev.azure.com/<ORG>/_packaging/<FEED>/npm/:username=anything
//pkgs.dev.azure.com/<ORG>/_packaging/<FEED>/npm/:_password=<BASE64_PAT>
//pkgs.dev.azure.com/<ORG>/_packaging/<FEED>/npm/:email=not-used@example.com
; end auth token

chmod 600 ~/.npmrc

5c. กฎเหล็ก: อย่า commit PAT

• PAT อยู่ใน ~/.npmrc เท่านั้น ไฟล์โปรเจกต์มีแค่ URL
• ถ้าโปรเจกต์ต้องมีไฟล์ที่มี credential จริง (เช่น เครื่องชั่วคราว) ให้เพิ่มชื่อไฟล์นั้นใน .gitignore ก่อน
• เผลอ commit PAT แล้ว: revoke PAT ทันที ลบจากไฟล์ไม่พอเพราะยังอยู่ใน history

6CI: ไม่ใช้ PAT ส่วนตัวของใคร

6a. Azure Pipelines: npmAuthenticate@0

task นี้ใส่ credential ของ build ลงใน .npmrc ที่ระบุ เฉพาะช่วงที่ build รัน (ห้ามใช้ร่วมกับ task Npm@1) วางก่อนคำสั่ง npm install

steps:
- task: npmAuthenticate@0
  inputs:
    workingFile: .npmrc
- script: npm ci
  displayName: Install packages

6b. GitHub Actions / CI อื่น: env var ใน .npmrc

เก็บ base64 ของ PAT ไว้ใน secret ของ CI ส่วน .npmrc ที่ commit ต้องมี URL อย่างเดียว (แบบหัวข้อ 4) แล้วให้ CI เขียนบรรทัด auth ลง ~/.npmrc ก่อน npm ci โดย npm แทนค่า ${VAR} ด้วย environment variable ตอนรัน

name: build
on: [push]
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: 'lts/*'
      - name: Write npm credentials (CI only)
        run: |
          P=//pkgs.dev.azure.com/<ORG>/<PROJECT>/_packaging/<FEED>/npm
          for B in "$P/registry/" "$P/"; do
            printf '%s\n' "$B:username=ci" "$B:_password=\${NPM_TOKEN}" "$B:email=ci@example.com" >> ~/.npmrc
          done
      - run: npm ci
        env:
          NPM_TOKEN: ${{ secrets.AZURE_ARTIFACTS_PAT_B64 }}

• secret AZURE_ARTIFACTS_PAT_B64 = ผลลัพธ์ base64 จากหัวข้อ 5b (ไม่ใช่ PAT ดิบ)
• ใช้ PAT ของ service account แยกต่างหาก scope Packaging (Read) ถ้าดึงเฉพาะแพ็กเกจที่อยู่ใน feed แล้ว (ถ้าต้องดึงจาก upstream ครั้งแรก ใช้ Read & write ร่วมกับบทบาท Collaborator) อย่าใช้ PAT ส่วนตัว
• ขั้นตอน npm ci ต้องตั้ง NPM_TOKEN ด้วย เพราะ npm อ่านค่า ${NPM_TOKEN} ใน ~/.npmrc ตอนรัน

7ตรวจสอบว่าใช้ได้จริง

npm config get registry

npm view @myscope/<PACKAGE> version

npm install

$ npm config get registry
https://pkgs.dev.azure.com/<ORG>/<PROJECT>/_packaging/<FEED>/npm/registry/
$ npm view @myscope/<PACKAGE> version
1.4.2
$ npm install
added 128 packages, and audited 129 packages in 9s
found 0 vulnerabilities

ตัวเลขและข้อความเป็นตัวอย่างประกอบ ผลจริงขึ้นกับโปรเจกต์ของคุณ

8แก้ปัญหาที่เจอบ่อย

9Security checklist และการหมุน PAT

• PAT scope Packaging (Read) สำหรับแพ็กเกจที่อยู่ใน feed แล้ว (Read & write เฉพาะกรณีต้องดึงจาก upstream ครั้งแรก)
• ตั้งวันหมดอายุสั้น (เช่น 30 วัน) และใส่ปฏิทินเตือนก่อนหมดอายุ
• ~/.npmrc สิทธิ์ chmod 600
• ไม่มี _password/_authToken จริงในไฟล์ที่อยู่ใน git (ตรวจด้วย git grep _password)
• CI ใช้ npmAuthenticate@0 หรือ secret store ไม่ฝัง PAT ใน YAML
• ใช้ service account แยกสำหรับ CI และ PAT รายคนสำหรับ dev
• คนออกจากทีม หรือสงสัยว่ารั่ว: revoke PAT ทันที

ขั้นตอนหมุน PAT

1. สร้าง PAT ใหม่ (scope เดิม) ก่อนอันเก่าหมดอายุ
2. เข้ารหัส base64 ตามหัวข้อ 5b และแก้ _password ทั้งสองบรรทัด (หรืออัปเดต secret ใน CI)
3. รัน npm view <แพ็กเกจใน feed> version และ npm install เพื่อตรวจ
4. Revoke PAT เก่าใน User settings > Personal access tokens