lrvo-key
Reprendre le token du registre privé depuis ~/.npmrc dans le .npmrc du projet.
npm login dépose un token dans ~/.npmrc. Le .npmrc du projet, lui, doit porter ce token directement. lrvo-key fait le pont entre les deux.
npm login --registry=https://registry.lrvo.app/ # obtenir ou renouveler un token
npx lrvo-key # le reprendre dans .npmrcCommandes
| Commande | Effet |
|---|---|
npx lrvo-key | Équivaut à sync. |
npx lrvo-key sync | Reprend le token de ~/.npmrc et l'écrit dans le .npmrc du projet. |
npx lrvo-key status | Affiche l'état du token, masqué. |
npx lrvo-key help | Affiche l'aide. |
sync crée le .npmrc avec le scope @lrvo et le token s'il n'existe pas. Sinon il ajoute ou remplace la seule ligne //registry.lrvo.app/:_authToken=, en préservant le reste du fichier.
Quand la lancer
- Après un
npm login, sur un projet neuf ou existant. - Sur un serveur de build, avant
npm ci.
npm login --registry=https://registry.lrvo.app/
npx lrvo-key
npm ci
npm run buildUne autre voie est possible sur un serveur : déposer directement un .npmrc contenant la ligne _authToken.
Notes
Le token n'expire pas dans le temps. C'est un token opaque Verdaccio, pas un JWT. Il cesse de fonctionner seulement si le secret du serveur change, si le mot de passe de l'utilisateur est modifié, ou si le compte est révoqué. Un nouveau npm login n'invalide pas l'ancien.
Aucun code runtime ne lit ce token. Il ne sert qu'à télécharger @lrvo/core et les @lrvo/module-* pendant l'installation. Le fournir au démarrage de l'application ne sert donc à rien : il doit être là avant le build.
Le .npmrc du projet ne se committe jamais. Il porte le secret en clair.
L'implémentation est décrite dans Registre npm.