npm 配置

.npmrc 可位于项目、用户和全局级别，优先级由 npm 合并。项目配置应只保留团队共享的安装与 registry 规则，不应提交 token、密码或机器代理地址。

# .npmrc
registry=https://registry.npmjs.org/
save-exact=true

常见配置项

engine-strict=true
package-manager-strict=true
manage-package-manager-versions=false

• engine-strict=true：安装时严格校验 package.json 的 engines 声明；不满足 Node.js 或 npm 版本要求时失败。
• package-manager-strict=true：pnpm 严格校验 packageManager 中声明的包管理器名称，防止混用 npm、pnpm、Yarn。
• manage-package-manager-versions=false：pnpm 不自动下载或切换 packageManager 指定的版本；版本由 Corepack、版本管理工具或团队环境自行保证。

后两项是 pnpm 配置，但 pnpm 同样会读取项目 .npmrc，因此可与 npm 相关配置放在同一文件。若团队希望 pnpm 自动管理声明版本，应将最后一项改为 true 或删除以使用默认策略。

常用操作

npm config get registry
npm config set registry https://registry.npmjs.org/
npm config list
npm login
npm whoami

私有 registry 的认证信息应使用环境变量、CI secret 或用户级配置注入。发布时配置最小权限 token，并在不再使用时撤销。

代理

临时网络代理优先使用 HTTP_PROXY、HTTPS_PROXY 等环境变量或用户级配置；不要把内网 IP、账号或 token 提交到项目 .npmrc。