merge: require cover for first project submission

.project-docs/00-brief/success-criteria.md

@@ -10,7 +10,7 @@
 - Electron 双视口预检必须检查与最终 `built_archive` 相同的内存文件字节；预检失败不得上传，预检成功不得被表述为可信审核凭据。
 - 上传协议必须同时携带源码归档、构建归档和严格版本化 artifact contract；服务端独立重算摘要、校验合同并固化不可变 Release。
 - Renderer 不得获得发布凭据、归档、临时目录、构建 origin 或任意本地路径；旧客户端和旧 sandbox/browser 任务必须提示升级后重新构建提交。
-- Works Project 在没有 metadata revision/条件写与 cover 回收合同的阶段，首次 create 只能原子保存文字资料且不上传封面；已有项目只能 version-only。客户端不得通过无条件 PATCH、先上传封面或吞掉并发冲突来模拟原子性。
+- Works Project 首次 create 必须用单一 multipart 合同原子提交文字资料与必选的 PNG/JPEG/WebP 封面；创建失败或冲突不得继续上传版本。已有项目保持 version-only；在没有 metadata revision/条件写前，客户端不得通过无条件 PATCH 修改已有资料。
 - Learning 课程目录、生成、下载、Agent、ASR 与 classroom runtime 必须保持 Main-owned；Renderer 不得获得 Works Token、Provider/模型配置、本地 archive 路径或任意网络代理能力。
 - Learning 课程包必须匹配声明大小与 SHA-256 后原子安装并在播放前复验；媒体必须是 MIME/扩展匹配的被动图片、音视频或字体，可执行同源文档在安装和服务两层拒绝。大课模块必须绑定同一 aggregate 课程身份，课堂联网只允许固定 capability、方法和有界请求/响应。
 - Learning 本地库、下载、播放器注册和 IPC 结果必须绑定 Electron Main 从当前登录身份派生的不透明账号分区；切换账号、注销或会话 epoch 变化后，旧账号文件、播放器 URL 和迟到结果不得继续可见。