月下载2亿次的npm包遭投毒后，我用TaoToken搭建私有npm仓库的完整实践

1. 从 Nx 投毒说起：为什么我开始认真考虑私有 npm 仓库

Nx 被投毒这件事，我是在一个凌晨刷到的。当时第一反应不是「又一个供应链攻击」，而是「我上周刚在 CI 里跑过 create-nx-workspace」。这种后知后觉的恐慌，做 Node.js 的人应该都懂。Nx 每周下载量超过 460 万次，被 Angular、React、Node.js 项目大量集成，连 VSCode 插件和脚手架都在用。攻击者只要在某个版本里塞一段 postinstall 脚本，就能顺着依赖树摸到你的环境变量、CI Token、甚至云厂商的临时凭证。

更早的 event-stream 事件、Vant 组件库投毒，其实都在说同一件事：npm 公共生态的信任模型是「默认信任 + 事后发现」。你npm install的那一刻，等于把整条依赖链的执行权限交给了陌生人。私有 npm 仓库不是银弹，但它能把「默认信任」改成「白名单可控」——公共包先进你的缓存层，内部包只走内网，来源可溯、版本可锁。

这篇要交付的东西很具体：用 Verdaccio 搭一个私有 npm 仓库，把上游源切到可控通道，再用 TaoToken 统一管理依赖鉴权用的 Key 和 API 通道。目标不是「搭起来能跑」，而是「投毒包进不来、来源查得到、Node.js 项目依赖可控」。适合谁看？中小团队的技术负责人、独立开发者、以及任何被供应链攻击新闻吓到过的人。

我试过直接在项目里锁死版本号，但锁版本只能防「已知的坏版本」，防不了「同一个版本被重新发布」或者「依赖的依赖被投毒」。私有仓库的价值在于：所有包先经过你的缓存层，你可以审计、可以拦截、可以回滚。

2. TaoToken 前置准备：统一 Key 与 API 通道管理

在讲 Verdaccio 配置之前，得先把鉴权通道这件事理清楚。私有 npm 仓库本身不解决「上游源怎么鉴权」的问题——你从公共源拉包，或者从公司内部源拉包，都需要一套统一的 Key 管理。TaoToken 在这里的角色是：把模型对话、Coding Plan、API Keys、接入文档这些入口统一到一个控制台里，避免 Key 散落在各个.npmrc、CI 变量、本地环境里。

你可以先打开官网 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= 看一眼控制台结构。核心入口有几个：

• 模型对话：https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_content=model_chat&utm_campaign=rewrite
• Coding Plan：https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding_plan&utm_campaign=rewrite
• 控制台：https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_content=console&utm_campaign=rewrite
• API Keys：https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api_keys&utm_campaign=rewrite
• 接入文档：https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite
• Claude Code Anthropic：https://taotoken.net/claude-code-anthropic?utm_source=taotoken_aicg_blog_end&utm_content=claude_code&utm_campaign=rewrite

API 基础地址是 https://taotoken.net/api（这个不加 UTM，直接用于代码里）。

为什么私有 npm 仓库要跟 TaoToken 扯上关系？因为 Verdaccio 的上游源（uplink）需要鉴权，而鉴权用的 Token 如果直接写死在config.yaml里，等于把 Key 暴露在配置文件里。更合理的做法是：Verdaccio 只负责缓存和代理，真正的上游鉴权走 TaoToken 的统一通道，Key 从环境变量注入，配置文件里只留占位符。

具体操作：在 API Keys 页面生成一个 Key，然后把它写进服务器的环境变量，而不是写进 Verdaccio 的配置文件。这样即使config.yaml被泄露，Key 也不会跟着泄露。这一步很多人会跳过，直接npm adduser完事，但一旦你要接公司内部源或者需要审计拉包行为，统一 Key 管理就是刚需。

另外，TaoToken 的接入文档里有完整的 Base URL、Key、Model ID 三件套说明。如果你后面要用 Codex 或者 Cline MCP 做依赖审计，这三件套是必须配齐的。我实测下来，把 Key 放在环境变量里，Verdaccio 启动时通过process.env读取，比硬编码安全得多，也方便在 CI 里轮换。

3. Verdaccio 可复制配置：上游源切换与投毒拦截

Verdaccio 的安装很简单，但配置才是关键。全局安装：

npm install -g verdaccio

启动后默认监听 4873 端口，Node.js 版本要求 v18 以上。首次运行会提示没有发布任何包，需要先创建用户：

npm adduser --registry http://localhost:4873/

输入用户名、密码、邮箱即可。但真正要改的是配置文件，路径通常在~/.config/verdaccio/config.yaml。下面是我实际在用的配置片段，重点在 uplinks 和 packages 两段：

# ~/.config/verdaccio/config.yaml storage: ./storage plugins: ./plugins web: title: Private NPM Registry auth: htpasswd: file: ./htpasswd max_users: 100 uplinks: npmjs: url: https://registry.npmjs.org/ timeout: 30s maxage: 2m fail_timeout: 5m cache: true taotoken: url: https://taotoken.net/api timeout: 30s maxage: 2m headers: authorization: "Bearer ${TAOTOKEN_API_KEY}" packages: '@mycompany/*': access: $authenticated publish: $authenticated unpublish: $authenticated proxy: npmjs '**': access: $all publish: $authenticated unpublish: $authenticated proxy: npmjs taotoken middlewares: audit: enabled: true log: type: stdout format: pretty level: http

几个关键点。第一，uplinks里我配了两个上游：npmjs是公共源，taotoken是统一通道。authorization用${TAOTOKEN_API_KEY}占位，启动前通过环境变量注入：

export TAOTOKEN_API_KEY="你的Key" verdaccio

第二，packages里的'@mycompany/*'是内部包作用域，只允许认证用户访问和发布，代理走npmjs。'**'是兜底规则，所有包都先走npmjs和taotoken两个上游。这样公共包会被缓存到本地storage目录，下次安装直接命中缓存，速度快且来源可溯。

第三，投毒拦截的核心在maxage和cache。maxage: 2m表示缓存 2 分钟，超过后重新验证上游。如果你要更严格，可以把maxage设成0，每次都回源校验，但会牺牲速度。我的做法是：内部包作用域设maxage: 0，公共包设2m，平衡安全和效率。

第四，middlewares.audit开启后，npm audit会走 Verdaccio 的审计接口，能拦截已知漏洞版本。实测下来，这个配置能挡住大部分「已知坏版本」的安装请求。

配置改完后，在项目里切换源：

npm config set registry http://localhost:4873/

或者项目级.npmrc：

registry=http://localhost:4873/ //localhost:4873/:_authToken=你的VerdaccioToken

注意，这里的_authToken是 Verdaccio 自己的 Token，不是 TaoToken 的 Key。两者不要混。TaoToken 的 Key 只用于 uplink 鉴权，Verdaccio Token 用于客户端访问私有仓库。

4. 验证请求与成功结果：从发布到拦截的完整链路

配置改完后，先验证 Verdaccio 能不能正常代理公共包。新建一个测试项目：

mkdir npm-test && cd npm-test npm init -y npm install lodash --registry http://localhost:4873/

如果配置正确，你会看到 lodash 从http://localhost:4873/下载，而不是registry.npmjs.org。同时 Verdaccio 的日志会显示http --> 200, req: 'GET /lodash'，说明缓存命中或回源成功。

接着验证私有包发布。在项目里改package.json：

{ "name": "@mycompany/utils", "version": "1.0.0", "private": false, "main": "index.js" }

注意private必须设为false，否则npm publish会报错。然后：

npm publish --registry http://localhost:4873/

发布成功后，访问http://localhost:4873能在 Web 界面看到@mycompany/utils。这一步验证了私有包托管链路。

再验证投毒拦截。找一个已知有漏洞的包版本，比如某个旧版本的event-stream，尝试安装：

npm install event-stream@3.3.6 --registry http://localhost:4873/

如果audit中间件生效，你会看到npm audit报出漏洞警告，Verdaccio 日志里也会有对应的审计记录。更严格的做法是在config.yaml里加packages规则，直接拒绝特定版本：

packages: 'event-stream': access: $all publish: $authenticated proxy: npmjs # 拒绝特定版本 allow_access: $all allow_publish: $authenticated

Verdaccio 本身不直接支持版本级黑名单，但可以通过maxage: 0+ 上游审计接口实现近似效果。我的做法是：在 CI 里跑npm audit --registry http://localhost:4873/，一旦发现高危漏洞就阻断构建。

最后验证来源可溯。Verdaccio 的storage目录下会按包名和版本存储 tarball，每个包的package.json里都有_resolved字段，指向实际来源。你可以写个脚本扫描storage目录，生成依赖来源报告：

find ~/.config/verdaccio/storage -name "package.json" -exec grep -l "_resolved" {} \;

这个报告能告诉你每个包是从npmjs还是taotoken拉的，方便审计。

5. 本篇常见错排查：401、local proxy failed、reading choices

第一个高频错误：401 Unauthorized。原因通常是_authToken没配或者过期。检查.npmrc里的 Token 是否跟 Verdaccio 的htpasswd匹配。如果是 uplink 的 401，检查TAOTOKEN_API_KEY环境变量是否注入成功：

echo $TAOTOKEN_API_KEY

如果输出为空，说明环境变量没生效，Verdaccio 启动时读不到，uplink 鉴权就会失败。

第二个错误：local proxy failed。这个通常是上游源不可达或者timeout设太短。把timeout从30s调到60s，并检查uplinks的 URL 是否正确。如果是taotokenuplink 报错，确认 API 地址是https://taotoken.net/api，不要加 UTM 参数。

第三个错误：reading choices。这个报错一般出现在npm publish时，原因是package.json里private没设为false，或者版本号没更新。每次发布前必须npm version patch更新版本，并保证 git 工作区干净。

第四个错误：OAuth 相关报错。如果你用 Codex 或者 Cline MCP 做依赖审计，需要配auth.json。三件套是：Base URL 填https://taotoken.net/api，Key 填 API Keys 页面生成的 Key，Model ID 填接入文档里对应的模型标识。缺一个都会报 OAuth 失败。

第五个错误：npm unpublish失败。删除特定版本用：

npm unpublish <package-name>@<version> --registry http://localhost:4873/

删除整个包必须加--force：

npm unpublish <package-name> --force --registry http://localhost:4873/

但慎用，删包会影响所有依赖它的项目。

踩过的坑：Verdaccio 的storage目录权限问题。如果以 root 启动，普通用户可能没权限读写，导致缓存失败。建议用非 root 用户启动，或者把storage目录权限设为755。

6. 语义一致 CTA：把鉴权通道和私有仓库串起来

私有 npm 仓库搭完之后，真正的价值在于「依赖可控、来源可溯」。但如果你只是本地跑 Verdaccio，上游鉴权还是散的。把 TaoToken 的 API Keys 和接入文档用起来，能让整个链路统一：Verdaccio 负责缓存和代理，TaoToken 负责 Key 管理和通道鉴权，CI 里通过环境变量注入，配置文件里不留明文。

具体入口再列一次，按需取用：

• 排障和接入：API Keys https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api_keys&utm_campaign=rewrite 和接入文档 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite
• 验证模型和通道：模型对话 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_content=model_chat&utm_campaign=rewrite
• 长期编码和 Agent 场景：Coding Plan https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding_plan&utm_campaign=rewrite
• 控制台总览：https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_content=console&utm_campaign=rewrite

最后一步实操：在 CI 里加一段依赖审计脚本，每次构建前跑一次：

npm audit --registry http://localhost:4873/ --audit-level=high if [ $? -ne 0 ]; then echo "发现高危依赖，阻断构建" exit 1 fi

这样投毒包进不来，来源查得到，Key 也不散落。私有 npm 仓库不是终点，而是把「默认信任」改成「可控白名单」的起点。