文档补充 EzHub 令牌权限坑和 SSH 实际状态

docs/双平台发布.md

@@ -24,6 +24,15 @@ ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIMFMh2Zqwm+8KFhU3DhzhOO5Sx7cIzybYqUsrbt1c3ly
 **操作**：EzHub 网页 → 右上角头像 → **设置** → **SSH / GPG 密钥** → **增加密钥**
 → 把上面那一整行粘进去 → 保存。
 
+> ⚠️ **实测状态（2026-10-07）**：公钥加过一次，但服务端仍拒绝。
+> 报错：\Permission denied (publickey,password)> 本机送出的指纹：\SHA256:Acmu49YQcjw3m5WefOXSBzYNY2WPHLL2vvhnlYRAttA> 请到 EzHub 确认那条密钥的内容和上面**完全一致**（一个字符都不能差），
+> 并且加在**正确的账号**下。
+>
+> 在你修好之前，可以先用令牌走 HTTPS 推：
+> \\powershell
+> python _build\ezhub_push.py <令牌>
+> \> （令牌存在仓库外的 \%USERPROFILE%\.ykxmz\ezhub_token\）
+
 本机配置（已写好，不用你管）：
 
 ```
@@ -43,7 +52,22 @@ SSH 密钥只能推代码，**建发行版必须要令牌**。
 **操作**：EzHub 网页 → **设置** → **应用** → **生成令牌**
 → 名称随便（比如 `ykxmz-release`）→ 权限勾 **`write:repository`** → 生成 → 复制。
 
+> ⚠️ **只勾读权限是不行的**（实测踩过）。
+> Gitea 的令牌如果只有读权限：能读仓库、能列发行版，**看起来一切正常**，
+> 但一推代码就 `403 Forbidden`、一建发行版也 403。
+> Gitea 会把原因写在响应里：
+> `token does not have at least one of required scope(s): [write:repository]`
+>
+> 提前探一下（无副作用）：
+> ```powershell
+> python _build\probe_token.py <令牌>
+> ```
+> 原理：对一个**不存在的**发行版发 DELETE。
+> `403` = 缺写权限；`404` = 有写权限（只是资源不存在）。
+
 > 令牌只从命令行传给脚本，不落盘、不进仓库。
+> `_build/ezhub_push.py` 会把它存到 `%USERPROFILE%\.ykxmz\ezhub_token`
+> （仓库外），不会进版本库。
 
 ---