安全管理 npm Registry：切换、作用域与故障排查

Registry 是 npm 包元数据和 tarball 的来源。nrm 是第三方命令行工具，可管理多个 registry 并切换 npm 配置；它不是 npm 自带命令，也不会自动判断哪个源可信或适合发布。若只需要一个稳定源，直接使用 npm 的配置通常更简单；只有频繁切换多个受信任 registry 时再考虑安装 nrm。

1. 先确认项目实际使用的来源

在项目目录检查 npm 配置、lockfile 与 package manager 声明：

node --version
npm --version
npm config get registry
npm config get userconfig
npm config list

npm 配置可能来自命令行、环境变量、项目 .npmrc、用户配置和全局配置，优先级并不相同。分享 npm config list 前检查输出，避免泄露内部 registry 地址、用户名或认证字段。项目的 .npmrc 会影响团队和 CI，不要为了个人网络环境随意提交源切换。

2. 何时使用 nrm

若日常仅用 npm 官方 registry 或组织批准的代理，没有必要安装额外的全局工具。需要在多个公开 registry 或自建 registry 之间切换时，可查阅 nrm 官方 npm 包页确认当前版本、Node 要求、命令参数和来源仓库；不要照搬 2020 年旧教程中的安装输出或 registry 列表。

全局 CLI 安装之前先确认 Node 版本管理器和全局 prefix：

node --version
npm prefix -g
npm view nrm version engines repository.url
npm install --global nrm
nrm --version

优先用当前 nrm 文档列出的 --version，不要把 nrm -V 错写成查询 nvm 版本。安装全局包会执行安装脚本并改变当前 Node 环境的全局依赖；不要使用 sudo npm install -g 来掩盖 prefix 权限问题。切换 Node 版本后，全局 nrm 可能不在新版本的 prefix 中，需要按团队约定重新安装。

3. 列出、切换和恢复

先查看当前配置，再选择一个经过组织或项目确认的 registry 名称：

nrm ls
nrm current
nrm use npm
nrm current
npm config get registry

示例中的 npm 是 nrm 预置名称之一，具体列表以安装版本为准。命令只改变配置，不证明新 registry 能访问、内容同步及时或可用于发布。切换前记下原值；若目标只应影响当前仓库，可用 npm 的项目级配置而不是改变个人全局设置：

npm config set registry https://registry.example.invalid/ --location=project
npm config get registry

上面 example.invalid 是占位域名，不能直接作为真实 registry。确认项目级 .npmrc 的变更是否应该提交；若只想暂时诊断，可以在一次 npm 命令中使用 --registry=<已验证的 HTTPS 地址>，结束后不会留下长期全局切换。

4. Registry、scope 与 lockfile

使用 npm 原生配置时，公开包默认 registry 与某个组织 scope 可以分开设置：

registry=https://registry.npmjs.org/
@my-scope:registry=https://registry.example.invalid/

@my-scope 和 registry URL 都是需要替换的示例值。私有包 scope 应指向组织批准的 HTTPS 地址，认证只为对应 host/path 配置。绝不在公开仓库提交 _authToken、用户名密码或含凭据的 URL；使用 CI Secret、凭据管理器或本机用户级配置，且采用只读、短有效期和最小权限。

切换 registry 后检查 lockfile 中的 resolved 主机：锁文件可能固定某个 tarball URL，因此改 registry 不一定会改变已有依赖的下载主机。不要为了迁移源而随意删除 lockfile；对比 package-lock.json diff，确认变化只涉及预期的 host 和依赖解析，并在干净环境运行 npm ci 与测试。

5. 下载源和发布目标是两回事

Registry 配置会影响包解析与安装，但发布目标还受包名 scope、仓库配置、命令参数和权限影响。发布前核对包名、版本、registry 和访问级别；有条件时先使用 dry-run 检查将发布的文件。不要因为安装时切到镜像，就假定私有包或公开包会发布到同一个目标，也不要用 nrm 的发布封装替代团队发布流程。

6. 连接慢或安装失败的排查顺序

npm config get registry 确认生效配置；同时检查项目 .npmrc、环境变量和 npm 命令参数；
检查 lockfile 的 resolved 地址以及失败日志中的实际 host；
用 npm ping --registry=<已验证的 HTTPS 地址> 检查 registry 响应，不要在日志中输出 token；
将单个依赖与目标 registry 的元数据查询作为对照，不要把测速结果当作安全或同步质量证明；
若组织代理需要认证或证书，联系维护方确认 CA、权限和网络策略，不要关闭 TLS 校验或复制陌生脚本修复证书。

7. 清理自定义源与复核

删除配置前确认它是个人添加的自定义条目，不是团队共享设置：

nrm current
nrm ls
npm config get registry

nrm 中删除自定义 registry 与 npm 项目 .npmrc、用户 .npmrc 中的设置是不同操作。不要凭名称猜测它们是否仍被项目或 CI 使用；优先回退自己创建的那一处，并复核仓库 diff。

参考资料：nrm 当前命令与版本说明、npm 配置文件与优先级、npm Registry、npm config。