feat(VM): 吃透 Chaos VM 程序结构层 —— 模块注册表 + collect 槽位表可静态导出

补上 VM_SPEC §5/§6 自己点出的缺口（"不是 VM 的问题, 而是模块系统 + 宿主调用序列"）。

新增 tools/tdc_program.py（程序结构分析器）:
  * closures / entries / 字面串折叠 / 边界感知的函数体切分
  * module_registry(): 识别顶层 "registry[id] = factory" 装配模式 -> 62 个模块工厂
  * call_graph / shared_bodies / find_strings / --func 导出自身指令

修掉两个真 bug:
  * tdc_disasm: RET_TRUE / THROW 未当终结符 -> 控制流穿过函数结尾线性走下去,
    把父函数续段误判给夹在中间的兄弟函数（@4940 曾误归 @4362, 实为 @4160）
  * tdc_lift: 终结符判定写死 opcode 数值 19/49 -> 改为按语义名

新增 tools/tdc_layout.py（静态导出 cd 槽位表）:
  装配链已完全厘清:
    顶层 = 62 个模块工厂的注册表（工厂形参 (module, exports, require)）
    -> 清单模块 arr[arr.length] = require(N)  <<< 这串 require 的顺序就是 cd 槽位序
    -> 分发模块按 .on/.reset/.get 分三数组
    -> 装配模块 r3='{"cd":[' + for(...) r3 += r8.get() + '],"sd":{...}'
  跨构建实测: core_js 的 require 串与线上构建的串**不同**（槽位序按构建随机化, 与 #31 一致）;
  语义对位已验证若干槽（userAgent->cd[3], href->cd[4], languages->cd[5] 命中）。

VM_SPEC 新增 §9 程序结构层（模块系统 / 入口 / collect 装配 / 为何决定 12）。
selftest 全绿。

tools/tdc_lift.py

@@ -118,7 +118,7 @@ class Lifter:
                     succ = [ops[0]]
                 elif op == OP_JUMP_IF_TRUE:
                     succ = [ops[0], nxt]
-                elif op in (19, 49):                        # RET_TRUE / THROW
+                elif ins["name"] in ("RET_TRUE", "THROW"):   # 按语义名, 不写死 opcode 数值
                     succ = []
                 else:
                     succ = [nxt]