fix(security): harden diagnostics storage boundary

docs/testing/11-2-builder-layer.md

@@ -406,6 +406,15 @@
   хвостовую пунктуацию; идемпотентен — регрессия на diagnostics-бандл, где
   редактировались env и YAML, а `journal-admin.log` копировался как есть.
 
+`orchestrator/test/diagnostics-storage.test.ts` отдельно фиксирует границу
+привилегий: production path не входит в `HY2XS_LOG_DIR`, symlink и чужой
+владелец отвергаются, режим root-каталога равен `0700`, рабочие каталоги
+уникальны, а archive path резервируется эксклюзивно до запуска `tar`.
+
+`orchestrator/test/package-meta-utf8.test.ts` проверяет соседнюю fail-closed
+границу metadata: fallback разрешён только для отсутствующего файла; каталог
+вместо файла и повреждённый UTF-8 пробрасываются как ошибка пакета.
+
 ## A7. Machine token в журналах (unit)
 
 `apps/middleware/log_test.go` — запрос