通过 AWS CodeArtifact 构建包管理基础设施 - npm、Maven、PyPI 私有仓库
构建 npm、Maven、PyPI 的私有仓库，通过上游缓存确保构建稳定性。通过包来源控制防止依赖混淆攻击。
CodeArtifact 的基本概念
CodeArtifact 是支持 npm、Maven、PyPI、NuGet、Swift、Cargo 共 6 种包格式的托管仓库服务。由域（组织级别的逻辑分组）、仓库（包的存储位置）和上游仓库（包获取源链）3 个概念构成。域允许在 AWS Organizations 的多个账户之间共享包，同一域内的仓库可以互相引用而不会产生存储重复。可以在单一服务中统一管理内部开发的私有包和来自 npmjs.com 或 Maven Central 等公共仓库的包。开发者只需将包管理器（npm、pip、mvn）的注册表 URL 指向 CodeArtifact，即可透明地获取私有和公共包。认证令牌通过 `aws codeartifact get-authorization-token` 获取，有效期最长 12 小时。
上游联动与缓存
设置上游仓库后，当请求的包在本地不存在时，会自动从上游获取并缓存。即使 npmjs.com 暂时宕机，也可以使用已缓存的包继续构建。上游支持链式配置，可以构建公司公共仓库 → 团队仓库 → 公共仓库的层级搜索结构。上游链最大支持 10 层深度。包版本固定和缓存提高了构建的可重现性，防止外部仓库变更导致的意外构建失败。缓存的包版本变为不可变（immutable），即使上游删除或篡改了版本也不受影响。这一特性为 left-pad 事件（2016 年 npm 包突然被删除导致大规模构建故障）等事故提供了完整防御。
供应链安全
包来源控制是限制包发布来源的功能。当与内部包同名的包在公共仓库发布时，可防止意外获取公共版本的依赖混淆攻击。对内部包设置「仅允许内部发布」后，来自上游的同名包获取将被阻止。与 EventBridge 集成可将新包版本的发布作为事件触发安全扫描或通知。
设计最佳实践与常见陷阱
在域设计上，推荐在整个 Organizations 中共享一个域，按团队或项目划分仓库。过度划分域会导致包的重复缓存使存储膨胀，且不支持跨域引用，管理会变得繁琐。仓库访问控制通过资源策略结合 IAM 策略实现最小权限管理。在 CI/CD 管道中，在 CodeBuild 的 buildspec 中执行 `aws codeartifact login` 自动获取令牌，可消除手动令牌管理。常见陷阱是将认证令牌硬编码到 `.npmrc` 文件中。由于令牌最长 12 小时过期，必须建立每次构建时动态获取令牌的机制。此外，外部连接（External Connection）每个仓库只能设置 1 个，因此不能在同一仓库中混合 npm 和 PyPI。正确的设计是按包格式分别创建仓库，通过上游链进行连接。
与 JFrog Artifactory、GitHub Packages 的比较
JFrog Artifactory 是成熟的自托管仓库管理器，可处理 CodeArtifact 不支持的格式，包括 Docker 镜像、Helm Chart 和 RPM 包。但需要在 EC2 或 EKS 上进行基础设施管理、许可成本（Pro 版年费数千美元起）和备份设计。GitHub Packages 与 GitHub 仓库紧密集成，支持 npm、Maven、Docker 和 NuGet，但缺乏上游缓存机制，也不提供相当于包来源控制的供应链防御功能。CodeArtifact 的优势在于完全托管无需基础设施开销，同时能将 Organizations 级别的访问控制与上游缓存相结合。Docker 镜像由 ECR 处理，Helm Chart 由 ECR Public 承担，因此从 AWS 生态系统整体来看格式差距得到了补充。代码集中在 GitHub 的小型团队，GitHub Packages 的便利性更胜一筹。但对于需要治理的多账户、多语言环境，CodeArtifact 的域和仓库结构更为适合。
CodeArtifact 的定价
CodeArtifact 的费用由存储（每 GB 月费约 0.05 美元）、请求数（每 10,000 次请求约 0.05 美元）和数据传输构成。从上游缓存的公共包也计入存储费用。通过生命周期策略自动删除旧版本来管理存储成本。与直接使用 npm 或 Maven 公共仓库相比，CodeArtifact 的成本为每月数美元到数十美元，考虑到构建稳定性和安全性的提升是值得的投资。需注意的是，频繁进行依赖解析的 CI 管道（每天数百次构建规模）会累积请求费用。使用 `npm ci` 的 `--prefer-offline` 或结合本地缓存层可有效减少请求数。
总结
CodeArtifact 是统一管理多语言包的托管仓库。通过上游缓存确保构建稳定性，通过包来源控制防止恶意包混入。支持 npm、pip、Maven、NuGet，在整个 Organizations 中集中管理包的共享和访问控制。