fix: test262 runner 进程 RSS 无界增长——session 收尾统一释放内建裸堆区/upvalue 别名 + 每测试分配上限 256MiB（任务 116）

- 泄漏修复：KernelSession 收尾（teardown_intrinsic_protos/free_session_upvalues）
  释放内建对象 Box::into_raw 裸堆区（release_raw_heap 四区置空幂等）与
  session upvalue 原件/晋升克隆别名去重释放；bindings 原生盒负载边、
  session_gc 边记录、vm_props 属性区同步收尾
- 失控测试封顶：runner kernel max_alloc_bytes=256MiB（dispatch 采样口径
  run_alloc_bytes/run_alloc_bytes_full），超限计 memory-limit 失败而非拖垮
  进程 RSS（arena 高水位 GB 级 × 多 worker = 宿主 OOM）
- 归属：RSS 泄漏 pre-existing（HEAD 无 WIP 同现）；identifiers escaped
  unicode 挂死族另立 B132（pre-existing，supervise 超时自愈）
- 验证：build/clippy/四 crate 测试全绿零新增告警；language 前 5000 测试
  单窗峰值 330MB（旧 ~4.5MB/测试 单调增长→88GB OOM 签名消失），
  窗口间峰值 0.17-1.6GB 有界、逐测试释放回基线

crates/oxide_vm/src/session_gc.rs

@@ -54,8 +54,9 @@ impl SessionGc {
         }
     }
 
-    /// 只读核算 session 对象的堆数据字节（属性/元素/meta Vec capacity + native 状态盒）。
-    /// 与 `drop_object_heap_data` 释放口径一致（capacity），不释放、不置空任何指针。
+    /// 只读核算 session 对象的堆数据字节（属性/元素/meta Vec capacity + upvalue 列表
+    /// capacity + native 状态盒）。与收尾释放口径一致（capacity）；upvalue 列表因原件与
+    /// 晋升克隆别名，释放走收尾集中去重而非逐对象路径。不释放、不置空任何指针。
     pub(crate) fn object_heap_data_bytes(obj: &JsObject) -> u64 {
         let mut bytes = 0u64;
 
@@ -89,6 +90,14 @@ impl SessionGc {
             }
         }
 
+        let upvalues_ptr = obj.upvalues as *const Vec<*mut oxide_types::object::Cell>;
+        if !upvalues_ptr.is_null() {
+            unsafe {
+                bytes += size_of::<Vec<*mut oxide_types::object::Cell>>() as u64
+                    + ((*upvalues_ptr).capacity() * size_of::<*mut oxide_types::object::Cell>()) as u64;
+            }
+        }
+
         bytes += map::map_native_size(obj);
         bytes += set::set_native_size(obj);
         bytes += disposable_stack::disposable_stack_native_size(obj);