docs: define portable config migration

docs/02-requirements.md

@@ -20,6 +20,7 @@
 | BR-016 | 每个已保存实例有独立、持久化的首选远程调试端口；它与运行时实际端口分离，未启动实例仍可在列表看到建议端口。 | P1 |
 | BR-017 | 用户可以仅通过已验证的 loopback CDP 端点查看 Chub 实例的页面目标（标签页）标题、脱敏 URL 和类型；该功能不得控制页面、关闭标签页或接管外部浏览器。 | P1 |
 | BR-018 | Chub 运行时提供一个 Windows 通知区域图标，允许显示主窗口、刷新已保存实例状态和显式退出应用；图标及菜单不得绕过实例授权边界或泄露实例路径、URL、代理等敏感信息。 | P1 |
+| BR-019 | Chub 默认将本地 `config.json` 保存到正在执行的 `chub.exe` 同级目录；首次使用新位置时安全迁移旧 `%APPDATA%\\chub\\config.json`，新位置既有配置永不被旧配置覆盖。 | P1 |
 
 ## 验收标准
 
@@ -46,7 +47,8 @@
 - 页面目标列表只显示标题、类型和移除 userinfo、query、fragment 的 URL；不得保存、记录、发布或展示 CDP WebSocket URL，也不得发送导航、关闭、创建或脚本执行命令。
 - 通知区域仅显示一个 Chub 图标；Tooltip 仅含非敏感汇总状态。双击或默认菜单项显示并置前主窗口，刷新命令仍只检查已保存实例，退出命令走明确的应用退出协调流程。
 - 图标创建失败、Explorer 重启、菜单关闭和应用退出不会阻塞 UI 帧，也不会导致浏览器启动、关闭、接管或按进程名枚举。退出时必须移除图标；外部 Chrome/Edge 永远不因通知区域命令被停止。
+- 默认配置路径必须由实际可执行文件路径解析，而非当前工作目录；迁移只在新位置不存在且旧配置存在、可读取、可校验时执行。迁移使用现有原子写入并保留旧配置恢复备份；目标目录不可写或旧配置畸形时，不创建半成品配置、不静默回退或混合两个配置来源，并给出可恢复诊断。
 
 ## 不做
 
-全局杀 Chrome/Edge、自动登录、页面操作、验证码处理、平台 API 集成、远程控制和跨用户权限提升；通过 CDP 管理或关闭外部实例。首个 CDP 查看版本不提供物理窗口 ID 或分组，后续仅在经过独立安全评审的 WebSocket CDP 任务中考虑。首个通知区域版本不改变窗口关闭语义、不把关闭按钮隐藏到通知区域，也不在菜单中直接启动、停止、重启或删除实例。
+全局杀 Chrome/Edge、自动登录、页面操作、验证码处理、平台 API 集成、远程控制和跨用户权限提升；通过 CDP 管理或关闭外部实例。首个 CDP 查看版本不提供物理窗口 ID 或分组，后续仅在经过独立安全评审的 WebSocket CDP 任务中考虑。首个通知区域版本不改变窗口关闭语义、不把关闭按钮隐藏到通知区域，也不在菜单中直接启动、停止、重启或删除实例。首个便携配置版本不提供 UI 路径选择、自动合并多个 `config.json`、网络同步或安装版的 AppData 回退；可配置路径参数另行评审。