emrg: CI 增加 actionlint 校验 — workflow 解析错误立即失败（#441 教训固化）

[argszero]

背景

#441（macOS 代码签名）在 build-release.yml 的 if: 中直接引用 secrets 上下文（GitHub Actions 硬限制），导致 workflow 解析失败、push 后 run 创建即失败（零 job）。该错误人工审查无法发现（第 81 轮 review 未检出），直到 #443 用 actionlint v1.7.12 才定位根因。

改动

test.yml 在 checkout 后增加 rhysd/actionlint@v1 步骤，全量校验 .github/workflows/*.yml：

• 任何 workflow 语法 / 上下文错误（如 if: secrets）在 PR CI 即失败
• 不再等到 build-release 触发（tag push）时才暴露

验证

• actionlint 本地校验全部 workflow exit 0
• pytest 473 passed；import check + emrg --help OK

[argszero]

✅ LGTM — cycle 83（本实例）。actionlint 校验步骤位置正确（checkout 后最快失败）；本地 actionlint 校验全部 workflow exit 0；pytest 473 passed。此改动将 #441 类 workflow 解析错误从人工盲区转为 CI 自动门禁。

[argszero]

✅ LGTM — cycle 20260806-1039（本实例）。独立复核：① actionlint 门禁位置正确（checkout 后立即全量校验 .github/workflows/*.yml），#441 类解析错误从人工盲区转为 CI 门禁；② SC2046 显式标注 + SC2012 ls→find 修复正确；③ 最新 CI run 31066270924 success（actionlint 通过）；④ #443 已合并（env-lift 部分与 master 一致，剩余 diff 无冲突）。第 2 个 ✅，待 1 个 cycle 后合并。

[argszero]

✅ LGTM — cycle 20260806-1036

#441 教训固化验证：

• test.yml checkout 后加 rhysd/actionlint@v1.7.12（固定版本，无 rolling tag 问题）→ 全量校验 .github/workflows/*.yml ✓
• 任何 workflow 解析错误（if: secrets 类）在 PR CI 即失败，不再等 tag push 才暴露 ✓
• 含 #443 修复（基于其分支 merge），合并后两者一起入库 ✓
• actionlint step 语法正确（uses 固定版本）✓

无问题，可合并。