[Bug]: nexus 3.80.0迁移到kkrepo 1.0.0后，npm命令行无法使用

[chown1988]

Summary

如题，nexus 3.80.0迁移到kkrepo 1.0.0后，出现npm命令行无法访问kkrepo，账号是基于openldap的，web能正常登录，请问如何解决？

Steps to reproduce

执行npm login报错
npm login --registry=https://xxx.xxx.xxx/repository/npm-public/
npm warn Unknown user config "home". This will stop working in the next major version of npm. See npm help npmrc for supported config options.
npm warn Unknown user config "always-auth". This will stop working in the next major version of npm. See npm help npmrc for supported config options.
npm notice Log in on https://xxx.xxx.xxx/repository/npm-public/
Username: xxx
Password:
npm error code ECONNRESET
npm error errno ECONNRESET
npm error network Invalid response while trying to fetch https://xxx.xxx.xxx/repository/npm-public/-/user/org.couchdb.user:xxx: aborted
npm error network This is a problem related to network connectivity.
npm error network In most cases you are behind a proxy or have bad network settings.
npm error network
npm error network If you are behind a proxy, please make sure that the 'proxy' config is set properly. See: 'npm help config'
npm error A complete log of this run can be found in: /Users/xxx/.npm/_logs/2026-09-09T11_59_30_705Z-debug-0.log

执行pnpm install报错：
[WARN] GET https://xxx.xxx.xxx/repository/npm-public/globals/-/globals-16.3.0.tgz error (ERR_PNPM_FETCH_400). Will retry in 1 minute. 1 retries left.
[WARN] GET https://xxx.xxx.xxx/repository/npm-public/eslint-plugin-unused-imports/-/eslint-plugin-unused-imports-4.2.0.tgz error (ERR_PNPM_FETCH_400). Will retry in 1 minute. 1 retries left.
[WARN] GET https://xxx.xxx.xxx/repository/npm-public/husky/-/husky-9.1.7.tgz error (ERR_PNPM_FETCH_400). Will retry in 1 minute. 1 retries left.
[WARN] GET https://xxx.xxx.xxx/repository/npm-public/@types/node/-/node-24.13.3.tgz error (ERR_PNPM_FETCH_400). Will retry in 1 minute. 1 retries left.
[WARN] GET https://xxx.xxx.xxx/repository/npm-public/eslint-plugin-react-refresh/-/eslint-plugin-react-refresh-0.4.20.tgz error (ERR_PNPM_FETCH_400). Will retry in 1 minute. 1 retries left.

Expected behavior

预期是web能正常登录、npm login能正常登录、npm install能正常拉依赖包

Actual behavior

目前是web能正常登录，npm login报401状态码，npm install报400状态码

Repository format

npm

kkrepo version or commit

1.0.0

Environment

我是用JVM包部署的kkrepo 1.0.0，mysql版本是8.0.44，kkrepo用的本地文件存储方式

Relevant logs or request details

[klboke]

问题已收到，我们看下，顺便帮点个 star

[klboke]

@chown1988 这个问题已经修复，修复将在下一个版本中发布，届时升级即可。感谢反馈。

[chown1988]

@chown1988该问题已经修复，修复将在下一个版本中发布，届时升级即可。感谢反馈。

你好！该问题出现的原因是什么？下一个版本大概什么时间发布啊？我是用JVM包部署的，有没有版本升级文档可以参考？感觉kkrepo的文档不够详细，比如openldap那一块配置，我是照搬原来nexus的配置调通的，希望文档支持能够加强。

[klboke]

@chown1988 你好，补充说明如下。

问题原因

kkRepo 1.0.0 的 npm legacy login 接口在处理下面这个请求时：

PUT /repository/<repo>/-/user/org.couchdb.user:<username>

服务端虽然已经生成了完整的 token JSON，但 Controller 错误地通过流式响应分支返回。在 Spring 和反向代理链路中，可能出现响应体没有完整写出、但 Content-Length 仍是完整长度的情况，npm 因此把它识别为连接被提前关闭并报告 ECONNRESET。对应问题和修复见 #269、#270。

这个问题不是 npm 不支持 OpenLDAP。npm login 和 Web 密码登录使用的是同一套凭据认证链路，其中包含 LDAP realm。日志里的 Unknown user config "home" 和 Unknown user config "always-auth" 只是新版 npm 对旧 .npmrc 配置的弃用提醒，也不是这次失败的原因。

发布时间

修复会包含在 kkRepo 1.0.1 中，计划今天下午发布。发布完成后可以从 Releases 下载 JVM 压缩包。

JVM 包升级方式

从 1.0.0 升级到 1.0.1 不需要重新执行 Nexus 迁移，建议按下面步骤操作：

1. 同时备份 MySQL 数据库和 File blob 存储目录。
2. 下载并解压 kkrepo-1.0.1.tar.gz 或 .zip 到新目录。
3. 停止 1.0.0 实例。
4. 复用原来的外部 conf/application.properties、数据库连接、File blob 路径及环境变量。
5. 不要重新生成或修改 credential-secret、api-key-payload-secret 等加密密钥，否则已有 LDAP、blob store 和 API key 加密数据可能无法读取。
6. 启动 1.0.1；应用会在启动时自动执行需要的 Flyway 数据库迁移。
7. 检查 /actuator/health、/admin/、/browse/，然后重新执行 npm 客户端验证。

升级说明见：构建部署指南 - 升级建议。

升级后建议验证：

npm login --auth-type=legacy --registry=https://xxx.xxx.xxx/repository/npm-public/
npm whoami --registry=https://xxx.xxx.xxx/repository/npm-public/
pnpm install

关于 pnpm 下载返回 400

目前 Issue 中只有 pnpm 显示的状态码，没有 kkRepo 返回的响应体，因此暂时不能确认它是否和登录问题属于同一原因。请先用 1.0.1 复测；如果登录恢复，但 tarball 下载仍然返回 400，请补充下面命令的响应头和响应体：

curl -sS -i \
  https://xxx.xxx.xxx/repository/npm-public/globals/-/globals-16.3.0.tgz

同时告知 npm-public 中对应 proxy 成员仓库的 Remote URL，以及是否配置了 Allowed redirect host。请勿公开真实密码、token、LDAP bind password 或内部数据。这样可以继续判断是否为上游跨 host 重定向校验或反向代理配置问题。

OpenLDAP 文档确实还不够完整，感谢指出。当前文档主要覆盖配置字段和安全边界，后续会补充 OpenLDAP 的 Bind DN、User Base DN、用户过滤器、Group 映射、常见目录结构以及验证示例。

[klboke]

@chown1988 https://github.com/klboke/kkRepo/releases/tag/v1.0.1 已发布，可以更新验证下，然后给个反馈，这个 issue 暂时保持打开

[chown1988]

@klboke 你好！按照上边给的方法解决了npm login的问题，但是出现了新的问题，比如执行pnpm login直接报401，另外前端依赖包的地址是http:// 前缀的，拉依赖包的时候直接报找不到包，要改成https:// 才行，可是我这边已经做了nginx的http-->https重定向，在做了重定向的前提下能不能直接让拉依赖包？

[klboke]

@chown1988 感谢验证，确认 1.0.1 已解决原来的 npm login 问题。你这次反馈的是两个独立问题：

1. pnpm login 返回 401 已定位为新的客户端兼容问题。新版 pnpm 会先发送 POST /-/v1/login 探测 Web 登录；kkRepo 目前只放行 npm legacy login 的 PUT /-/user/org.couchdb.user:*，因此探测请求在进入 npm 协议处理前被认证过滤器返回了 401。这个问题与 OpenLDAP 无关，我们会补上兼容处理。修复发布前可以继续使用：

   npm login --auth-type=legacy --registry=https://xxx.xxx.xxx/repository/npm-public/

pnpm 会读取相同的 npm 认证配置，登录后可直接执行 pnpm install。

2. package metadata 中的 dist.tarball 被生成成 http:// 时，仅做 HTTP 到 HTTPS 重定向还不够。客户端拿到的应该直接是 HTTPS 地址。请确认 Nginx 转发了 Host、X-Forwarded-Host、X-Forwarded-Proto: https、X-Forwarded-Port: 443 和 Authorization，并在 kkRepo 设置 KKREPO_TRUSTED_PROXIES，使它精确匹配 kkRepo 实际看到的 Nginx 来源 IP。Docker 部署时这个地址通常是容器网络 IP，不一定是 127.0.0.1。

配置说明：https://github.com/klboke/kkRepo/blob/v1.0.1/docs/zh/nginx-reverse-proxy.md

可以这样检查：

npm view --registry=https://xxx.xxx.xxx/repository/npm-public/ globals@16.3.0 dist.tarball

结果应直接以 https://xxx.xxx.xxx/repository/npm-public/ 开头。HTTP 重定向不能替代这个配置，因为部分包管理器不会在 tarball 重定向时安全地重放认证信息。

[klboke]

@chown1988 pnpm login 的兼容修复已经提交到 #295。

修复后，pnpm 的 Web 登录探测会收到 HTTP 405，并自动回退到 kkRepo 已支持的 legacy token 登录流程；实际用户名和密码仍由原有认证链路（包括 OpenLDAP realm）校验。该修复只放行精确的 POST /-/v1/login 探测路径，不会放宽仓库内容访问权限。

本地完整测试（2951 个用例）以及 Nexus/kkRepo 黑盒兼容测试均已通过。这个 Issue 先保持打开，PR 合并并进入后续版本后，再请你验证 pnpm login。

[chown1988]

好的，目前按你说的方法，修改了nginx配置后，刚才提到的第2个问题已经解决了，等后续版本修复了pnpm login的问题，我验证后再来反馈。

[klboke]

@chown1988 收到，感谢确认 HTTPS/tarball 地址问题已经解决。

pnpm login 的修复 PR #295 目前已通过完整单元测试，以及 MySQL、PostgreSQL 两套真实 pnpm 11.19.0 客户端 E2E（包含 pnpm login 和 pnpm whoami）。待 PR 合并并进入后续版本后，我们会在这个 Issue 里通知你升级验证；Issue 继续保持打开。