SECURITY: Prevent external resources in SVG files

On bug 65724, it was discovered that a user could upload SVG images
with embedded <image> elements that pulled in the resource via http.
This could allow an attacker to track all viewers of an SVG by having
the image embed another image hosted on their own server.

While testing the patch, I also identified 3 more element namespaces
that have been used on commons and seem harmless, so I added those to
the whitelist.

Change-Id: Iaaabc3a60c0ec4e6e426a8680d7a2cef5d469d29

Localisation updates from https://translatewiki.net.

Change-Id: I8386f5aae3990abe420df402d3f778589934c64a

Localisation updates from https://translatewiki.net.

Change-Id: I6cb91ddcb23051e3eeca7692bca619aef979f9bd

Update OOjs UI to v0.1.0-pre (9aad824bd6)

New changes:
414c051 build: Update jscs and use new "wikimedia" preset
0401aff Accessibility: Set aria-hidden attribute on elements while dialogs are open
9aad824 Revert "Accessibility: Restore element focus when a window closes"

Change-Id: I8df631bdce8446ab9845c4e971c2c58cf94bc7e4

Merge "SpecialSearch: Simplify result info"

Double check its safe before dropping new table during db cloning

parserTests.php just killed my user table :(

Bug: 65654
Change-Id: Idcf1c6af6a513c9e6dc650237863db8d61519886

Merge "Remove LogEventsList::showHeader() (deprecated since 1.19)"

Merge "Add deprecation messages to static methods in Article.php"

Release notes for browser tests

For I2b4bfa512a33ff31cc0369dfd9ec19cb875d5e36

Change-Id: Ifb1762bc4ee6ceab5fe5a33c090e4fd1f2ae0610

Merge "Return a TTL when formatting times"

Merge "browser acceptance tests"

Localisation updates from https://translatewiki.net.

Change-Id: Ic3f463eef951510a8580ec0bad4040d9626efe2f

Add deprecation messages to static methods in Article.php

The referenced hooks simply call the corresponding hooks in WikiPage.php,
so it would be better to call them from WikiPage.php directly.

Change-Id: Ia0cf526c625d38cd941a1166876c13697be87a86

Merge "Sync up with Parsoid parserTests."

Merge "mediawiki.page.patrol.ajax: Use postWithToken"

Sync up with Parsoid parserTests.

This now aligns with Parsoid commit 5c1681a53606e80522afc6e2496aaef2b30aad4c

Change-Id: Ic871d300eec6ba268eceef6b1014884c763b0e1c

Remove LogEventsList::showHeader() (deprecated since 1.19)

Change-Id: I9575329cb09f495f47032028d3693f8046b3e139

Remove HTMLForm::addJS() (deprecated since 1.18)

Change-Id: Id174d37b69a2e8d76555c3d414fdb87c01222d66

Special:Watchlist: Don't try to render empty row

If no rows to render in table, show message and leave function before
trying to render.

Bug: 67025
Change-Id: Ica4ad670a130f31124ff644a2e1e50beea481c9b

Actually fetch config object in ApiQueryRecentChanges::getResultProperties

Change-Id: Id9c316733896a27ce3f6c3e0e5efdf62f7d1ff1b

Guard recursion flag against exceptions.

To avoid misleading errors in case of failed initialization,
flags used to protected against recursion need to be reset
in case of an exception being thrown.

Change-Id: Ifbc1db4b827012177fcfd271981179ebb2329b52

Merge "Set wgScript in LinkerTest"

Remove use of OutputPage::addParserOutputNoText()

Simply clicking "Show preview" on the edit page triggered a deprecation
warning.

Also removed the wfDeprecated() call from the method, which is still used
in a few WMF-deployed extensions without a corresponding open change.

Follows-up e8f1fede77c5.

Change-Id: I2cfdc84b92cf13478b9f462028d525e4ec14fdf2

Merge "Allow fragments in link= parameter in <gallery> tags."

Set wgScript in LinkerTest

otherwise tests fail if you don't have this setting.

Change-Id: I598b83c348dc54908225ee398787bf300d473656

Merge "Remove SearchEngineReplacePrefixesComplete hook"

mediawiki.page.patrol.ajax: Use postWithToken

Change-Id: I3cfdd048ed7a13fded5566dec58fd6eeb0515d6c

Add includes/page/ to findHooks.php

Follows-up 32ac3913310f.

Change-Id: I07dc1e9ad7bcb0b7e5477eb17e6e625f6ec625e2

Merge "Revert "PrefixSearch (ApiOpenSearch) now supports searching in multiple namespaces""

Revert "PrefixSearch (ApiOpenSearch) now supports searching in multiple namespaces"

Caused regression in opensearch results for the main search field on every
page. Special pages are no longer included when they should.

This reverts commit 0e054bbf1a955b02afd4feaa04063c841e19a569.

Change-Id: Ib39c6d7816cd3c21ec714f5d6272bebd049ac430

Merge "Replace deprecated File::sha1Base36 call"

Merge "Use quickUserCan instead of userCan for searches"

Merge "Add support for testing transparent tags"

Merge "Rename Parser_DiffTest class to ParserDiffTest"

Allow fragments in link= parameter in <gallery> tags.

This brings the image syntax in gallery tags inline with normal
syntax. Handle <gallery>File:foo.png|link=bar#baz</gallery>
properly.

Bug: 62343
Change-Id: If6149ccc19f70605ad4481e4da2ca55676d6001d

Merge "Do not mention deprecated RawPage in hooks.txt"

Merge "Don't allow some E_NOTICE messages to end up in the LocalSettings.php"

Localisation updates from https://translatewiki.net.

Change-Id: I7936dc2fe8dffaa2cd2143e5fa0844de9d1061e4

Merge "Fix rendering of centered caption-less images"

Merge "Fix typo in Special:MIMESearch causing minor part to be ignored."

Merge "Hide the caption of frameless or inline images in Parsoid HTML"

Merge "Remove SpecialPage::getFile"

Merge "GlobalVarConfig shouldn't throw exceptions for null-valued config settings"

Replace deprecated File::sha1Base36 call

Change-Id: I0a2485f1a9426183e1b1c5a5b6e95966f23da237

Correct comment about getPropsFromPath/sha1Base36 in sql files

The function of class File are deprecated, so change comment to FSFile.

Change-Id: I2350b2d6d6b09d4d2f6d64ab04891e0911595cb0

Remove SpecialPage::getFile

Left over from I0e78453544abb5de7935b046c838ae5b3c4da802, where the
private property was removed.

Change-Id: Id75661aa0b16bc99ae8618b6698015d052adb91d

Do not mention deprecated RawPage in hooks.txt

Replaced by RawAction

Change-Id: Ic7d24ccf41c2571c76da486c6513b2dd325b8fd0

SpecialSearch: Simplify result info

- Removes two message cases we never actually hit, moves remaining
  case up to the short dialog instead of in the form header area.
- Remove superfluous <ul> with a single item.
- Tweak styling a tad, smaller font, etc.
- Simplify counting and some presentation logic while we're here.

Change-Id: Ib04f08231ea4138116f31f60910df61bd8445043

Fix rendering of centered caption-less images

These were not actually centered before. Setting the display mode to table as
for captioned thumbs fixes this issue.

Bug: 51245

Change-Id: I18e0c173109a2184f9785f7f2a390a4582c7a881

Merge "Removed setLang() too from IContextSource subclasses"

Merge "Database search fixes:"

Hide the caption of frameless or inline images in Parsoid HTML

Bug: 51245
Change-Id: Ia88bf58e647e2e53b83e86c841d45001f9fb0333

GlobalVarConfig shouldn't throw exceptions for null-valued config settings

Use array_key_exists rather than isset to test $GLOBALS.

Bug: 66986
Change-Id: I9beabd79e1d52966b9184c9647af5a2a31c19276

Remove SearchEngineReplacePrefixesComplete hook

This hook is poorly thought out. The only extension that uses it
can't possibly think it works how they're expecting.

Change-Id: I853a01afc8e922f22e949321a2f2343d264632a6

browser acceptance tests

Apropos of https://www.mediawiki.org/wiki/Wikimedia_Release_and_QA_Team/Quarterly_review,_April_2014#Action_items

Tests pass on a bare wiki install, beta enwiki, beta dewiki, beta hewiki

Bug: 66272

Ported create_account.feature and supporting files from /qa/browsertest without needing updates
Change-Id: I2b4bfa512a33ff31cc0369dfd9ec19cb875d5e36

Merge "ApiParse: Add disableeditsection parameter"

Merge "Expose $wgLocalInterwikis via the API"

Merge "Typo in documentation: wgMaxShell not wgShellMax"

Merge "Make the deprecation notice actually useful by listing the class"

Typo in documentation: wgMaxShell not wgShellMax

Change-Id: I02f2437c33e87ea389e4bbb753af0c6cc18b4410

Merge "Use user name for $6 of message 'revision-info'"

Merge "Add authorship info and tweaks to $wgExtensionCredits for core skins"

Rename Parser_DiffTest class to ParserDiffTest

Change-Id: I5fca44a3fffbc60a66be32fad9ed6d1713056d81

Removed setLang() too from IContextSource subclasses

getLang() has been removed by e45e0b1a6.

Change-Id: I813f96b78211fbbe5b2e93488fcf1c28878b8d5a

Localisation updates from https://translatewiki.net.

Change-Id: I9778079ddb92602259510e91574e63911bd17dac

Use user name for $6 of message 'revision-info'

Giving the user id is not useful for GENDER, it needs a user name.
Was added in r53505.

Change-Id: I3420561b1198c8c90b5411dd619205af38291b69

Merge "mediawiki.searchSuggest: Enable result caching"

Merge "jquery.suggestions: Support caching results to save http requests"

Merge "Only list Create account when permissions allow it"

Merge "Special:ExpandTemplates: Load RL modules"

Special:ExpandTemplates: Load RL modules

Bug: 39049
Change-Id: I85d0c820d7fb5e3faa0081bf2e8e4672f2887b38

Move implementations of Page to separate file

Moved implementations of the Page interface, including subclasses
of WikiPage and Article, to a separate /includes/page file.
Separated PoolWorkArticleView to the includes/poolcounter file.

Change-Id: I4557eab76e0cb12d9d7f93644c5831bdd5b472b0

Expose $wgLocalInterwikis via the API

This will hopefully be useful to Parsoid.

Bug: 66709
Change-Id: I67d789172d4c6b786ed781f80e513692b3ae4119

Remove info(), purge(), revert() and rollback() from Article.php

Deprecated since 1.19 and transferred to Action subclasses

Change-Id: I92c441132946eb5be26c729f70bc32bace4937fb

Merge "SpecialVersion: Localize '[no name]'"

Merge "Add a 'namemsg' parameter to $wgExtensionCredits for localizable names"

Don't allow some E_NOTICE messages to end up in the LocalSettings.php

There is probably a better, more comprehensive way to produce a
LocalSettings.php file so that E_STRICT and E_NOTICE errors don't end
up in the file, or to notify users that there is a problem with the
generated file, at least.   This only attempts to address those issues
reported as a result of c978cee8562f018dab158b41e15266fcf873bf1b.

Bug: 66922
Change-Id: I0fe70446d9fe23aed2a147e20e5ff3851371726d

Fix typo in Special:MIMESearch causing minor part to be ignored.

img_minor_mime was being added to wrong part of query info
array, and thus was being ignored.

Whoops.

Change-Id: I55f45f5ae9621ff1319b34a2aa85cb4bd2c96253
Follow-up: c93baa941a5a56b7

Add authorship info and tweaks to $wgExtensionCredits for core skins

Change-Id: I13ae94385b629fcd504b84470471e0125f39f22d

Fix comment for @param

Change-Id: I3838ba86c3d0d361643cfcef7f6a64950d941427

SpecialVersion: Localize '[no name]'

No one noticed this isn't localized because it's basically never shown
in practice, but let's do it properly anyway.

Change-Id: I43a03c54e064e62b1d459773f05536d2d2cd9468

Add a 'namemsg' parameter to $wgExtensionCredits for localizable names

Works similarly to 'description' and 'descriptionmsg', but 'name'
is still required because of weird shenanigans Special:Version does.
(And would be a good idea anyway for backwards-compatibility with
older MediaWikis.)

The primary use-case is skins (which have already traditionally had
translateable names in MediaWiki, but weren't always shown on
Special:Version), but there's no reason why regular extensions can't
use this too.

Skins which already have a translated name for Special:Preferences
('skinname-<skin>' messages) can reuse the same message here.

Change-Id: Iae6f770a8fe1968670429c22aefc1ae55e8dba6f

Make the deprecation notice actually useful by listing the class

Follows-up Id8a559a

Change-Id: I101e5e864d6c14d2a67721514f02c5166137211f

Merge "Fix capitalization of "MonoBook" in findHooks.php"

Merge "Kill $wgEnableNewpagesUserFilter"

ApiParse: Add disableeditsection parameter

To disable edit section links in the parser output

Bug: 62723
Change-Id: I499c4bb0cd85964e78db3362e13a8033a2e9aed0

Fix capitalization of "MonoBook" in findHooks.php

Follows-up ec1ccf436751 and 4bbd1c44d90f.

Change-Id: I08e4ff78b2bb2a5582ef612b0248e0c7338436a2

Merge "Separate MonoBook skin from core"

Kill $wgEnableNewpagesUserFilter

A temporary WMF hack from 2008 (r34065). No longer needed.

Bug: 58932
Change-Id: Ia25ddc32a0f08587301461c669499e4b8bdf3adb

Fix some findHooks.php errors

* Correct typo in docs/hooks.txt.
* Add a few directories.

Left unfixed is "Undocumented: Special{$this->getName()}BeforeFormDisplay",
which will be addressed separately.

Change-Id: I4fda8960642c23500bd20e0b89c1d1327456313b

Merge "Removed deprecated WebRequest::escapeAppendQuery()"

Removed deprecated WebRequest::escapeAppendQuery()

This function was deprecated in 1.20 and slated for removal in 1.22;
there were supposed to be warnings given in 1.21 but there does
not seem to be any use of this function otherwise in core.

Change-Id: If70a4e2c1509bf3527d5f8960c14115ce4ab713e

Separate MonoBook skin from core

This makes it behave exactly like a custom skin.

* Renamed directory to reflect skin name.
* Split skin classes to separate PHP files.
* Removed core autoloader entries for skin classes.
* Changed the hack in Setup.php to require_once the skin PHP file, as
  the skin is now registered there.
* Extracted skin-specific localisation messages.
* Extracted skin-specific resources.

Change-Id: Ife9926d12b6baaa84cd2aa9a415f1183415863c8

Separate Vector skin from core

This makes it behave exactly like a custom skin, with the caveat that
it is still hardcoded in several places :(, most notably lots of
skinStyles in Resources.php, the installer and some tests.

* Renamed directory to reflect skin name.
* Split skin classes to separate PHP files.
* Removed core autoloader entries for skin classes.
* Changed the hack in Setup.php to require_once the skin PHP file, as
  the skin is now registered there.
* Extracted skin-specific localisation messages.
* Extracted skin-specific resources. Did not touch skinStyles yet.
* Hacked up the installer not to fall over entirely if Vector is
  missing.
* Adjusted hardcoded paths in some more places...

Change-Id: Idfffc1430790b3a104cc9835a6367137bcbf0e4e

Database search fixes:

- Move filter() function and make it protected, nothing uses it
  outside database-backed searching
- Use per-backend legal search characters rather than assuming the
  static implementation is right

Change-Id: Ic2b830b56137b2dfe68b9b9c3de012151e716952

Merge "PrefixSearch (ApiOpenSearch) now supports searching in multiple namespaces"

PrefixSearch (ApiOpenSearch) now supports searching in multiple namespaces

I thought there was just an issue with capitalization, but in fact the code
explicitly only searched one namespace anyway. Fixed that while taking
capitalization differences in namespaces into account.

Bug: 65752
Bug: 30323
Change-Id: I3487bb69eae1867832e0ec9ece497538eca32a2a

Merge "Removed getLang() from IContextSource and subclasses"

Merge "SearchResultSet: remove hasResults(), unused"

Merge "Article: Add RL modules for the ParserOutput when showing CSS/JS page"