Nix のサンドボックス設定は隠れたビルド入力──再現性が保証されない落とし穴

要約

Nix のサンドボックスパス設定 (sandbox-paths) はビルド定義 (derivation) に記録されない隠れた入力となり、同じ derivation でも異なるビルド結果を生む可能性がある。/bin/sh をマウントするかどうかなど、sandbox-paths はコンパイル時に決まるため、同じ Nix バージョンを使っていてもマシン間で異なり得る。OpenJDK ビルドで Guix (sandbox に /bin がない) から Nix (デフォルトで /bin/sh をマウント) に移行した際、derivation は同じでも build スクリプトの動作が変わり出力が破損した事例から、この設定がビルド再現性を密かに損なうことが判明した。sandbox-paths を derivation に含めると binary cache の共有が崩壊するため根本的な解決は難しく、マシン間の hidden input が信頼できるビルドを困難にしている。