Update.

* PageArchive can now return a Revision object for more convenient processing
  of deleted revision data
* Added 'UndeleteShowRevision' hook in Special:Undelete
* Error message on attempt to view invalid or missing deleted revisions

(bug 7693) Update to Indonesian localisation (id) #39

API * backlinks (forgot to add)

Add "redirect" and "querycachetwo" tables.

Added description for two new tables

Added querycachetwo table creation & patch. The table will be used to cache items with two links.

* Allow compound interwiki prefixes in $wgImportSources

* (bug 7686) Include id attribute on delete form confirmation button

* (bug 7684) Obey watchcreated preference for Special:Upload watch checkbox

Bug 7687: Fix movetalk box checks itself when confirming a delete and move; Patch by Werdna.

Bug 7369 - Allow "Show Changes" without requiring edit token; Patch by Werdna.

Bug 6977 - 404 for autogenerated database documentation in docs/database.txt ; The meta documentation probably supersedes this.

* Added 'redirect' table - contains unique targets of redirects

API * simple backlinks module (no redirect resolution yet)
* Cleaned up references

(bug 6531) fix PHP fatal error on MediaWiki installation page with bad input - patch by Werdna. Also tweak output HTML slightly so that Tidy doesn't complain about it, and add a few newlines to make View-Source a tiny bit easier to read.

* (bug 7663) Include language variant switcher links on Nostalgia skin
Refactor out common variant list code from Skin.php and CologneBlue.php into Skin::variantLinks, and add it to Nostalgia's topLinks()

* Fix user_newpass upgrade for prefixed tables (reported by Fyren) [added to release notes from previous checkin]
* (bug 7636) Fix typo in Firefox 2 check (tested by Werdna)

Use db prefix!

* (bug 7609) Add some more '*-summary' messages to MessagesEn.php with empty
  strings to allow better localisation via Special:Allmessages. Mark this new
  messages as optional for localisation.

(bug 7593) Update to Latin (la) translation

Update to German (de) translation

Update.

Added a per-user limit on password reminder emails. Presumably if you just had a password reminder sent to you, you don't need another one a short time later. Along with a proper per-IP throttle setting, this should fix the majority of the abuse problem on Wikipedia.

API * cache expiration control
* Added PHP-serialized & WDDX formats

API * Extra profiling for allpages * better help output

renaming ApiQueryRecentchanges.php to ApiQueryRecentChanges.php (step 2 of 2)

renaming ApiQueryRecentchanges.php to ApiQueryRecentChanges.php (step 1 of 2)

Update.

fix linktrail

* (bug 7606) MediaWiki messages for "rss" and "atom" missing

* (bug 7582) Add 'tog-nolangconversion' to MessagesEn.php.
  This key is need for languages with variants (zh, sr, kk)

* (bug 7607) Add Karakalpak (kaa) to Names.php and stub message file for linktrail

Tweak Cologne Blue style so that all search boxes are given CSS widths.

(bug 7661) Fix regression in XHTML validity for Cologne Blue (duplicate id's for search form).

Fix common.css so that it loads correctly, remove inclusions of it from other CSS files, bump style version.

forgot to commit this change

Workaround for bugs.php.net/bug.php?id=39215

Fix bug #7605. For logged-in users use the selected variant(if any) insted the one from user settings.

Bump style version, accidentally missed from last commit.

Fix regression caused by r17122 in Cologne Blue search.

Fixed 'tooltip-diff' in i18n (alt-d -> alt-v)

* Include common.css from classic-style skins in main HTML with the bump URL
  FIXME: this may leave doubled rules which won't stand up to certain changes.
  Will want to adjust these more to eliminate the dupe @includes.

Added new message 'blocked-mailpassword' to German l10n

bumping style version to match live hack.
partially just testing to confirm svn mail is working

* (bug 6427) Block blocked IPs from using the mail password function
  to allow blocking of flooders

API * touched field format
* Removed duplicate pageid

Marked authenticateUserData() as public

Marked all functions as static

API * Common field output function to simplify result generation
* Recent changes parameters

Replaced meta.wikipedia.org with meta.wikimedia.org

Updates to German translation

Minor path update to example Content_action.php file in docs.

(bug 7636) Show Firefox 2 users "shift-alt" as accesskey prefix

(bug 7644) User creations that are aborted by hooks shouldn't be counted against account creations per day limit

(bug 7647) Update for Lithuanian language (lt)

Some cleanup: code style, whitespace, docs, using single apostrophe, using __METHOD__ instead of .

API * Added rudimentary RC list
* More readable query formulation

* (bug 6276) Stopped search field from getting too large in Cologne Blue
* Fixed duplicate name/id value of "search" in Cologne Blue

Added escapeClass static function to Sanitizer and updated last commit to use it instead of escapeId.

(bug 5795) CSS class added to body based on page name for page-specific styling.  Patch based on one by Ilmari Karonen.

(bug 2241) Fix colliding use of 'w' and 'd' accesskeys (this time without removing tabs)

Minor tweak, stops "variable e hides argument" notification in FireBug.

(bug 7632) {{ns-1}} instead of {{ns:-1}} in pagemovedtext message in MessagesCs.php

* Don't give attackers an opening by echoing back known bad parameter inputs.
* Create magic links only using a whitelist of protocols.

Have no proof of vuln, but allowing the user to make JavaScript links and have a lot of control over what goes into them probably isn't desirable.
Example attack input:
  http://en.wikipedia.org/w/api.php?action=query&meta=javascript://**/alert(1);

Example pre-patch HTML output contains this string:
  <a href="javascript://**/alert">javascript://**/alert</a>(1);
Which doesn't work, due to:
 1) the double slash - one slash someone can work around by faking a C-style comment (by appending "**/" as shown above), but two is a problem
 2) the parentheses being excluded, so we can't pass parameters
... but best to put a stop to it anyway.

(bug 7623) Use Sanitizer::escapeId to validate id's, not htmlspecialchars.

Quick update to r17088 - Fuzz testing was giving me a PHP Notice: "Undefined variable: wgUseDatabaseMessages in <b>/var/www/hosts/mediawiki/wiki/languages/messages/MessagesPl.php</b> on line <b>1292</b><br />". This happens because the desired output is the literal string "$wgUseDatabaseMessages", not the value of the $wgUseDatabaseMessages variable. However variables are not expanded in single quotes, but they are in double quotes; so when the line was changed from single to double quotes, it started wanting to print out the variable - therefore modifying to use single quotes, and adding escaping for the literal singles quotes.

Experimental workaround for bugs.php.net/bug.php?id=31892 , will be tested shortly.

API *
* OpenSearch support for namespaces
* Minor watchlist feed cleanup

(bug 7619) Update for Polish language (pl) #6

Removing trailing whitespaces from various messages.

'wgUseTidy' => false

Added --show-output option to parserTests.php, to allow capture of complete output for test generation. Fixed various parser tests broken by tidy and incorrect capture method (i.e. web browser). Updated "Fuzz testing: Parser14-table", this appears to be fixed.

docs

Try to fix a parser test, experimentally to see if this works.

* (bug 4525) Move section links down visually to same level as headings editsection links are now inside the heading elements).
* Document structure changed, so some JavaScript/CSS may need tweaking (wikibits.js updated to reflect changes).
* Parsertests updated, but don't seem to run, so someone please confirm that there are no (illusory) regressions.
* $wgStyleVersion bumped.

API * HTML is now valid HTML Transitional (thansk nickj)
* Fixed watchlist ordering bug

API * Optimized revision <rev> tag setting

Revert part of r17066 - ParserOptions private variables not being treated as private, reported by Simetrical, may only be experienced when tidy is enabled, I need to grep more in future.

API
* Removed slow result SanitizeData
* Fixed watchlist feed bug (reported by nickj)
* Fixed HTML formatting bug (reported & fixed by nickj)
* clarified HTML intro message

* Finish fixing bug 3205, and bump up $wgStyleVersion.
* Added $wgStyleVersion to a stylesheet call that brion missed.
* Add informative comment to the top of common_rtl.css to the effect that it is really common to all skins, unlike common.css.

Updating the release notes.

(bug 7617) Update for Portuguese localisation (pt)

Pass by reference, allow AutoAuthenticate to create a new object and assign it to $user.

* Probably want "$this->mIsGenerator = false;", not "$mIsGenerator = false;"
* rm unused global declaration.
* rm references usage in a foreach iteration ($info does not seem to be assigned to anything, so no benefit to using refs).
* Define local var in error printout.
* rm a few local vars that look unused.
* Make paranoia check do something.

* Make ParserOptions private variables private.
* Remove two unused globals.
* Remove pass-by-ref usage when arg is never modified (objects automatically passed-by-ref in PHP5)
* Removed some unused local variables.
* Mark a possibly dubious pass-by-ref on an uninitialized var as "FIXME: Please check that this initialization is correct", and added what I presume is the correct initialization.
* Declare preg_match arg 3 (output matches argument) as an array() before using it. Nothing wrong with not doing this, just feels slightly more explicit to me than a function call that also implictly creates and populates an array.
* My editor has automatically removed trailing spaces at the end of lines (which is not inherently a bad thing, but I have turned this option off now to help minimize diff sizes in future).
* Have confirmed that "php maintenance/parserTests.php --quiet --quick --color=no" shows no regressions, and that "php maintenance/fuzz-tester.php --specific-test=editPageTest --max-runtime=5" still shows no errors.

API * login module parameter format

API * Better log events info * Added RAW debugging format

API * better profiler modules naming

API * Enabled global profiling

* (bug 7444) Update namespace translations for Telugu (te), kept old values as alias for compatibility

* (bug 7581) Update language name for cbk-zam

* (bug 7599) Fix thumbnail purging, PHP notices on HTCP image page purge

Somebody changed the parameters and return value of Image->thumbUrl()
and didn't update all uses. Silly of them!

Also add a paranoia check on urls in the list in SquidUpdate

And don't redefine the socket options constants when called a second time

safety first

* API: logevents query module (incomplete)

Avoid new CSS class and id names without mw prefix to avoid conflicts with user data.

bump style version forgotten in r17047 which made big reverts

* API: added prop parameter to watchlist, added partrolled flag

Revert changes of 16988 and 17038 until I get some aesthetic issues worked out (some more line-heights will need to be reworked to keep it looking the same as before).

profiling