gamegold 6.7.3 → 6.7.6

package/README.md

@@ -65,3 +65,45 @@ https://github.com/bookmansoft/gamegoldmanager
 API说明文档
 https://github.com/bookmansoft/gamegoldapi
 
+## NPM 两阶段验证对 publish 的影响
+
+你踩的是"包级 2FA 死锁"
+
+npm 现在对所有包（尤其是有一定下载量的旧包）会自动 enroll 进包级 2FA 政策。规则是 ：
+
+All packages now require two-factor authentication or a granular access token with bypass 2FA enabled​ for creating and publishing packages.
+
+也就是说链路是这样的：
+
+你账号层关了 2FA → npm profile get应该显示 "twoFactorAuth": false
+
+但 gamegold这个包被 npm 强制开了包级 2FA​ → 包设置里默认是 "Require 2FA or granular token with bypass 2FA"
+
+你本地 .npmrc里的 _authToken是老 token（要么是 classic 要么是没勾 bypass 2FA 的 granular），它既过不了账号 2FA 检查（你关了），也过不了包级 2FA 检查（token 没 bypass）→ 死锁 403​ 
+
+所以"关 2FA"这一步反而把你往坑里推了一把——账号关了，包级还在要 2FA，老 token 又没 bypass，三面夹击。
+
+（推荐）：网页生成 Granular Token，勾 Bypass 2FA
+
+这是 npm 现在给的"合法免 OTP"出口，也顺便解决你上一轮问的跨机共享——token 字符串拷过去就能用：
+
+去 npmjs.com → 头像 → Access Tokens​ → Generate New Token
+
+选 Granular Access Token
+
+权限勾 Read and Write（或只 Publish）
+
+关键：勾选 Bypass two-factor authentication for this token​ ☑️
+
+Expiration 最长 90 天（2025/11 之后硬性限制 ）
+
+生成后复制 npm_……那段，只显示一次
+
+本地写进 .npmrc, 或者行命令执行：
+```bash
+npm config set //registry.npmjs.org/:_authToken=你刚拷的npm_开头那串
+npm whoami     # 能打出用户名就 OK
+npm publish --access public
+```
+
+⚠️ 2026 年 5 月那次 npm 把所有 bypass-2FA 的 write token 一刀切作废过一次，所以这个 token 90 天后必过期，CI 里用的记得日历提醒轮换，别哪天突然 403 懵掉。