feat(upload): 支持 Agent 本地图片安全上传

docs/integration-guide.md

@@ -71,6 +71,22 @@ curl -X POST http://localhost:3010/api/projects/1/works \
 
 相同 `projectId + externalId` 的重试不会重复创建，响应包含 `idempotent: true`。异源图片成功转存后不再依赖原地址长期可用；任意图片校验或转存失败时不会创建作品记录。
 
+### 本地文件上传
+
+外部 Agent 只有本地图片时，不需要转换为 Base64。相同接口支持 `multipart/form-data`，重复使用 `images` 文件字段，并通过 Bearer API Key 鉴权：
+
+```bash
+curl -X POST http://localhost:3010/api/projects/1/works \
+  -H "Authorization: Bearer $DELIVERY_DESK_API_KEY" \
+  -F "externalId=client-2026-002" \
+  -F "title=本地生成作品" \
+  -F 'tags=["#本地文件"]' \
+  -F "images=@01.png" \
+  -F "images=@02.png"
+```
+
+URL 与本地文件不能在同一次请求中混用。文件顺序即展示顺序，第一张为封面；单张不超过 20 MB，服务端会校验真实图片内容并上传到活动 COS。
+
 ## 创建新验收轮次
 
 每轮只能提交一个方案。标题、正文、标签和图片会形成不可修改的轮次快照；新轮次自动锁定上一轮。