docs: define read-only CDP target viewing

docs/02-requirements.md

@@ -18,6 +18,7 @@
 | BR-014 | 用户可以在完整代理地址下拉框中维护无认证代理，并在创建或编辑实例时选择代理；代理认证信息不得保存、记录或进入启动参数。 | P1 |
 | BR-015 | GUI 实例主操作在 Chub 托管运行态提供优雅停止、在可启动状态提供启动；外部关联或未知外部实例不得获得生命周期控制。 | P1 |
 | BR-016 | 每个已保存实例有独立、持久化的首选远程调试端口；它与运行时实际端口分离，未启动实例仍可在列表看到建议端口。 | P1 |
+| BR-017 | 用户可以仅通过已验证的 loopback CDP 端点查看 Chub 实例的页面目标（标签页）标题、脱敏 URL 和类型；该功能不得控制页面、关闭标签页或接管外部浏览器。 | P1 |
 
 ## 验收标准
 
@@ -40,7 +41,9 @@
 - 受管运行实例点击主操作后进入关闭中，成功退出后恢复启动入口；停止失败不自动强制终止，也绝不影响其他 Chrome/Edge。
 - Chub 在当前应用会话中启动的 Chrome/Edge 根进程意外退出后，实例状态立即变为“已退出”，清空运行时 PID/端口，并显示包含实例名称和浏览器类型的可关闭提示；配置与 User Data Dir 保留，关闭提示后启动入口可用。
 - 用户从 Chub 发起优雅停止时，不显示“浏览器已退出”意外退出提示；外部已关联、外部占用、未知占用以及应用关闭后无法继续监控的实例均不弹出此提示。
+- 用户只能对“运行中”或“外部已关联”且已有实际、已验证 CDP 端口的实例打开页面目标查看；读取失败时保留实例配置和当前编辑内容，给出可恢复的重试提示。
+- 页面目标列表只显示标题、类型和移除 userinfo、query、fragment 的 URL；不得保存、记录、发布或展示 CDP WebSocket URL，也不得发送导航、关闭、创建或脚本执行命令。
 
 ## 不做
 
-全局杀 Chrome/Edge、自动登录、页面操作、验证码处理、平台 API 集成、远程控制和跨用户权限提升；通过 CDP 管理或关闭外部实例。
+全局杀 Chrome/Edge、自动登录、页面操作、验证码处理、平台 API 集成、远程控制和跨用户权限提升；通过 CDP 管理或关闭外部实例。首个 CDP 查看版本不提供物理窗口 ID 或分组，后续仅在经过独立安全评审的 WebSocket CDP 任务中考虑。