fix: HasStatic 让 Stats 越用越偏；borrowStatic 漏标 scoped

两个都是静态调用那条路上的。

HasStatic 建了 VM 却不记丢弃。Created 在 load 里加（所有建 VM 的路径都走它），
Dropped 在 staticTarget.finish 里加，而 HasStatic 拿到 VM 后直接返回，不走
finish。每调一次 Created-Dropped 就永久 +1——Stats 是导出的观测结构，这个
偏差会直接体现在监控上。改成走同一套记账。

borrowStatic 同样会注入作用域扩展，却不设 vm.scoped。release 靠这个标志拒绝
把带扩展的 VM 放回池子，漏标就是跨调用泄漏。今天不出事只是因为
staticTarget.finish 永远丢弃——同一个约束靠两套机制守，以后有人把静态 VM
接进 release 就会漏。

测试：
  - Stats 那条断言「在飞的 VM 数」调用前后不变
  - scoped 那条是**内部测试**，直接断言标志位。行为测试盖不住它——borrowStatic
    那条路今天靠 finish 兜底，从外面看不出漏标
  两条都做了破坏性验证，摘掉修复会红。

顺带把 WithTimeout 的文档补上一句：要新建 VM 的路径上是顶层和函数调用两段
各自计时，墙钟上限是 2×d。行为不改——两段各自计时是合理的，缺的只是说明。

engine_option.go

@@ -30,8 +30,12 @@ func WithGlobal(name string, value any) Option {
 	return func(e *Engine) { e.globals[name] = value }
 }
 
-// WithTimeout 设置单次调用的时限，超时后脚本会被强制中断，调用方拿到 KindTimeout 错误。
-// 传 0 表示不限时——只在明确知道脚本可信时才这么做。
+// WithTimeout 设置单次调用的时限，默认 DefaultTimeout。超时会中断脚本执行
+// （goja 的 Interrupt），调用方拿到包了 ErrTimeout 的错误。
+//
+// 注意「单次调用」在**要新建 VM** 的路径上是两段各自计时：先给顶层代码一段，
+// 再给函数调用一段，所以墙钟上限是 2×d。走 VM 池命中时没有这个问题——顶层
+// 早就跑过了。要卡死总时长，用带 deadline 的 ctx。
 func WithTimeout(d time.Duration) Option {
 	return func(e *Engine) { e.timeout = d }
 }