diff --git a/docs/project-memory/shared-memory/pitfalls.md b/docs/project-memory/shared-memory/pitfalls.md
index 35e266485..ac63217a3 100644
--- a/docs/project-memory/shared-memory/pitfalls.md
+++ b/docs/project-memory/shared-memory/pitfalls.md
@@ -5603,3 +5603,9 @@ Cocos Creator 根目录由 `package.json.creator.version` 与普通 `assets/` 
 - **原因**：统一错误解析器只处理标准 `error.message/details` 结构；部分网关或旧兼容响应使用字符串 `error`，解析失败后回落到登录接口传入的通用文案。
 - **处理**：`parseApiErrorMessage` 同时支持字符串 `error`，标准嵌套结构保持原有优先级；未知或空响应继续使用通用兜底。
 - **验证**：`src/services/apiClient.test.ts` 新增字符串错误响应回归用例，定向测试 32 项通过，`npm run typecheck` 通过。
+
+## 2026-09-15 Jenkins Stdb 发布临时目录必须允许服务用户遍历
+
+- **现象**：`Genarrative-Stdb-Module-Publish` 在备份和 SpacetimeDB 就绪后，于 `spacetime publish` 报 `Permission denied`。
+- **原因**：Jenkins 以 root 运行时 `${HOME}/data/tmp` 位于 `/root` 下；即使发布临时子目录已 `chown` 给 `spacetimedb`，父目录仍不可遍历。
+- **处理**：发布给 `--run-as-user` 的 WASM 临时目录改用 `/var/tmp`，继续使用随机目录并在退出时清理。
diff --git a/scripts/deploy/production-stdb-publish.sh b/scripts/deploy/production-stdb-publish.sh
index c102e45ec..e96210ecb 100644
--- a/scripts/deploy/production-stdb-publish.sh
+++ b/scripts/deploy/production-stdb-publish.sh
@@ -747,7 +747,9 @@ if [[ -n "${RUN_AS_USER}" && "$(id -u)" -eq 0 ]]; then
     echo "[production-stdb-publish] 发布用户不存在: ${RUN_AS_USER}" >&2
     exit 1
   fi
-  task_tmp_dir="${HOME}/data/tmp"
+  # runuser 需要能够穿过临时目录的父目录；Jenkins 以 root 运行时 HOME
+  # 通常是 /root，而 /root 对 spacetimedb 不可遍历。
+  task_tmp_dir="/var/tmp"
   mkdir -p "${task_tmp_dir}"
   PUBLISH_TMP_DIR="$(mktemp -d "${task_tmp_dir}/genarrative-stdb-publish.XXXXXX")"
   install -m 0644 "${SOURCE_DIR}/spacetime_module.wasm" "${PUBLISH_TMP_DIR}/spacetime_module.wasm"