Add GitHub Actions validation for flake, NixOS config, and Home Manager eval

[Copilot]

This PR adds CI coverage for the repository’s Nix setup so invalid flake/config changes are caught in GitHub Actions instead of at local rebuild time. It specifically validates both system (nixosConfigurations.desktop) and Home Manager (users.alice) evaluation paths.

• Workflow added: Nix config validation in CI

  • New workflow: .github/workflows/nix-validate.yml
  • Triggers on pull_request and push to main
  • Adds timeout-minutes: 30
  • Installs Nix and runs:
    • nix flake check --system x86_64-linux
    • nix eval .#nixosConfigurations.desktop.config.system.build.toplevel.drvPath
    • nix eval .#nixosConfigurations.desktop.config.home-manager.users.alice.home.activationPackage.drvPath

• Security hardening

  • Sets explicit least-privilege permissions:
    • permissions: { contents: read }
  • Pins third-party actions to commit SHAs:
    • actions/checkout@34e114876b0b11c390a56381ad16ebd13914f8d5 (v4)
    • cachix/install-nix-action@8aa03977d8d733052d78f4e008a241fd1dbf36b3 (v31)

permissions:
  contents: read

jobs:
  validate:
    timeout-minutes: 30
    steps:
      - uses: actions/checkout@34e114876b0b11c390a56381ad16ebd13914f8d5 # v4
      - uses: cachix/install-nix-action@8aa03977d8d733052d78f4e008a241fd1dbf36b3 # v31
      - run: nix flake check --system x86_64-linux
      - run: nix eval .#nixosConfigurations.desktop.config.system.build.toplevel.drvPath
      - run: nix eval .#nixosConfigurations.desktop.config.home-manager.users.alice.home.activationPackage.drvPath

[Uliboooo]

• push: のブランチが未指定のため、すべてのブランチへのpushで実行される。branches: [main] に絞り込むことを推奨。

• actions/checkout@v4 と cachix/install-nix-action@v31 がタグ指定のみでSHA未固定。サプライチェーン攻撃のリスクがあるため、コミットSHAでのピン留めを推奨。

• --show-trace によりエラー時に内部パスやホスト名（desktop）、ユーザー名（alice）がログに出力される。パブリックリポジトリの場合は情報漏洩に注意。

• nix flake check はデフォルトですべてのシステムに対して実行される。対象システムを明示的に指定（例: --system x86_64-linux）することでCI時間の短縮と意図の明確化が図れる。

• ジョブにタイムアウト設定がない。nix flake check は環境によって長時間かかることがあるため、timeout-minutes: の追加を推奨。

• Nixバイナリキャッシュ（Cachix等）の設定がないため、毎回フルビルドになる可能性がある。CIの高速化のためキャッシュ設定の追加を検討。

[Copilot]

• push: のブランチが未指定のため、すべてのブランチへのpushで実行される。branches: [main] に絞り込むことを推奨。

• actions/checkout@v4 と `cachix/instal...

対応コミットは c32301f です。push を main のみに制限、Actions をSHAピン留め、--show-trace を除去、nix flake check --system x86_64-linux に変更、timeout-minutes: 30 を追加しました。キャッシュ設定（Cachix等）は追加依存/運用方針が絡むため今回は入れず、必要なら別PRで分離して対応します。