补齐游戏分发发布恢复链路并修掉双击提交建两份游戏

- 新增 scripts/check-game-distribution-web-publish-recovery-e2e.mjs：上传中断留草稿、关窗/登录失效后重登续传沿用原 versionId、双击只落一份、换账号不显示他人草稿，共 10 项 PASS
- GamePublishPage 加同步 submitInFlightRef 在途守卫与按次稳定的 Idempotency-Key（失败重试复用、成功后清空），双击不再创建第二份游戏
- 游戏分发里程碑阶段 C 第 5 条改为已勾选
- pitfalls 记录「点一次会建资源的入口需要同步守卫或稳定幂等键」

docs/project-memory/shared-memory/pitfalls.md

@@ -6073,4 +6073,9 @@ Cocos Creator 根目录由 `package.json.creator.version` 与普通 `assets/`
 
 - **现象**：运营把 `game-distribution:publish` 显式配置成 `enabled=true, rolloutPercent=100` 后，登录作者在网页 `/games/publish` 仍看到「发布功能正在灰度中 / 当前账号还没有发布入口」，但用同一账号的 access token 直接请求 `/api/runtime/frontend-config` 得到 `gameDistributionPublishEnabled=true`。
 - **根因**：`src/services/frontendRuntimeConfigService.ts` 的 `loadFrontendRuntimeConfig()` 传了 `skipAuth: true`，请求不带登录态；而发布灰度是**按作者**判定的（匿名恒为 false），所以壳层拿到的永远是匿名结果。
-- **处理**：去掉 `skipAuth`（保留 `skipRefresh` 等选项），登录后壳层按 `gamePublishGateUserId` 重读配置即可拿到发布入口；`frontendRuntimeConfigService.test.ts` 与 `check:game-distribution-web-publish-e2e` 都覆盖回归。教训：任何「按用户/作者灰度」的配置接口都不能走 `skipAuth`，匿名结果与登录结果语义不同。
+- **处理**：去掉 `skipAuth`（保留 `skipRefresh` 等选项），登录后壳层按 `gamePublishGateUserId` 重读配置即可拿到发布入口；`frontendRuntimeConfigService.test.ts` 与 `check:game-distribution-web-publish-e2e` 都覆盖回归。教训：任何「按用户/作者灰度」的配置接口都不能走 `skipAuth`，匿名结果与登录结果语义不同。
+## 2026-09-28 发布按钮连点两次会建两份游戏：React isSubmitting 挡不住同一次渲染窗口里的双击
+
+- **现象**：网页发布页飞快双击「提交审核」，服务端出现两份游戏（各带一个版本）。`isSubmitting` 是 React 状态，双击发生在同一次渲染窗口里时还没生效，再叠上 `prepareGamePackage` 的 ZIP 压缩耗时，两次点击各走一遍创建工作。
+- **处理**：`GamePublishPage` 加同步 `submitInFlightRef` 在途守卫（进入提交前同步置位、`finally` 复位），并让同一次发布（含失败后重试）复用同一组 Idempotency-Key（`publishKeyRef`，成功后清空），服务端按幂等重放；`check:game-distribution-web-publish-recovery-e2e` 断言「双击只落一份游戏与一个版本」，`GamePublishPage.test.tsx` 15 passed。
+- **教训**：任何「点一次会建资源」的入口都需要同步守卫或稳定幂等键，只靠 React 状态禁用按钮不够。