fix: 大数组索引写降级命名属性并扩展逻辑长度

crates/oxide_builtins/src/array/common.rs

@@ -282,7 +282,7 @@ pub(crate) fn check_array_create_len<H: VmHost>(vm: &mut H, n: usize) -> Result<
 
 pub(crate) fn array_length_arg<H: VmHost>(vm: &mut H, value: JsValue) -> Result<usize, JsValue> {
     let n = vm.coerce_number_bounded(value).unwrap_or(f64::NAN);
-    if !n.is_finite() || n < 0.0 || n.fract() != 0.0 || n > MAX_DENSE_PROPS as f64 {
+    if !n.is_finite() || n < 0.0 || n.fract() != 0.0 || n > u32::MAX as f64 {
         return Err(crate::error::create_range_error(vm, "Invalid array length"));
     }
     Ok(n as usize)

crates/oxide_builtins/src/array/from.rs

@@ -27,8 +27,9 @@ pub fn array_constructor<H: VmHost>(vm: &mut H, args: &[u8]) -> NativeResult {
             };
             let arr = vm.alloc_object(JsObject::new_array(EMPTY_SHAPE_ID, proto_val, n, vm.epoch().bump()));
             // 数值长度分支建 n 个空洞而非 present-undefined：`in`、for-in、
-            // Object.keys 按缺失处理，元素 Get 落原型链。
-            for i in 0..n {
+            // Object.keys 按缺失处理，元素 Get 落原型链。物理区以稠密上限
+            // 钳位（越界索引无物理槽，逻辑长度已覆盖）。
+            for i in 0..n.min(MAX_DENSE_PROPS) {
                 unsafe {
                     (*arr).mark_hole_at(i);
                 }