docs: define local cdp association task

docs/02-requirements.md

@@ -12,12 +12,16 @@
 | BR-008 | 只允许管理工具注册且经过身份校验的 PID。 | P0 |
 | BR-009 | 支持本地配置持久化，绝不保存浏览器凭证。 | P1 |
 | BR-010 | 提供 CLI 或本地 API，供脚本启动、查询和关闭实例。 | P1 |
-| BR-011 | 可选启用本地 CDP，用于读取窗口/tab 信息；默认关闭。 | P2 |
+| BR-011 | Chub 启动的 Chrome/Edge 必须启用仅限 loopback 的本地 CDP；端口从设置的起始端口分配，空值默认 9666。 | P1 |
+| BR-012 | 同一 user data dir 被外部浏览器占用时，只能在其 CDP 端点可验证时关联为外部实例；不得接管生命周期。 | P1 |
 
 ## 验收标准
 
 - 两个不同 user data dir 可以并行启动，互不阻塞。
 - 同一 user data dir 的第二次启动被拒绝，并显示已知 PID/来源。
+- 新启动实例使用 `127.0.0.1` 上的远程调试端口；从默认或已保存的起始端口开始递增，并在列表显示实际关联端口。
+- 外部实例只有在其 `DevToolsActivePort` 和本地 CDP 端点均通过浏览器类型校验时才显示“外部已关联”；关联后不得显示关闭、强制关闭或重启入口。
+- 外部实例未启用 CDP、端点失效或权限不足时，显示“外部占用”或“未知占用”，且不得再次使用同一目录启动浏览器。
 - 关闭操作不会影响其他 Chrome/Edge 实例。
 - 工具重启后，无法确认身份的外部进程只能报告 UNKNOWN，不得被关闭。
 - 异常退出后状态在合理时间内变为 EXITED/FAILED。
@@ -26,4 +30,4 @@
 
 ## 不做
 
-全局杀 Chrome/Edge、自动登录、页面操作、验证码处理、平台 API 集成、远程控制和跨用户权限提升。
+全局杀 Chrome/Edge、自动登录、页面操作、验证码处理、平台 API 集成、远程控制和跨用户权限提升；通过 CDP 管理或关闭外部实例。