SECURITY: blacklist CSS var()

Bug: T208881
Change-Id: I9a4ced2bc47eb5f96cf35e693bf5261c48acb126

SECURITY: Fix reauth in Special:ChangeEmail

Previously you could bypass reauthentication by directly
POSTing to Special:ChangeEmail.

Bug: T197279
Change-Id: I674557351e0e91a8105c12ddf6cd30283aac9f7a

Correct name of the recommended function

Change-Id: I6b79b6a9e3d17eafdb92fd940d64e9108ff5c293

Merge "Refactor buildPrevNextNavigation"

Merge "Improve type hints to special page related classes"

Merge "Remove DatabaseSqliteMock unit test class in favor of mocking"

Merge "Improve @var on User class"

Merge "Update OOUI to v0.32.1"

Refactor buildPrevNextNavigation

Refactored buildPrevNextNavigation() into standalone helper class,
PrevNextNavigationRenderer, to be used by both SpecialPages and Pagers.

Bug:T207977
Change-Id: Ic49837a451f795ec203e867961ec1c69075cc91a

Remove DatabaseSqliteMock unit test class in favor of mocking

Change-Id: Id22233359df25920c335e4945e606c6c3283f2a1

Merge "Decouple DatabaseBlock::newFromTarget from DatabaseBlock::newLoad"

Localisation updates from https://translatewiki.net.

Change-Id: I5ff3c17b7b9ee534e3efa6cdb7ce4b7b40a54d16

Improve @var on User class

Add missing @var tags with types or add missing types to @var

Change-Id: I34eb4c26d34da072465f1b162fb2d0291610f564

Update OOUI to v0.32.1

Release notes:
 https://phabricator.wikimedia.org/diffusion/GOJU/browse/master/History.md;v0.32.1

Bug: T223841
Bug: T224739
Bug: T224885
Depends-On: I1e6ed138cbab66c94cd45289799302d88d22cad9
Change-Id: I72278024790829841c15dd7b3eb09fe1a98cac9c

Merge "HTMLForm: Use PHP 5.6 splat operator directly instead of ObjectFactory"

Decouple DatabaseBlock::newFromTarget from DatabaseBlock::newLoad

Before this, DatabaseBlock:newFromTarget initialises a new block and
calls DatabaseBlock::newLoad on that instance, passing through the
target and type via that instance. However, newLoad returns a brand
new block instance. This patch makes newLoad into a static method,
with the target and type passed as method parameters.

It also separates the block-choosing logic in newLoad into a separate
method, DatabaseBlock::chooseMostSpecificBlock. Doing this (1) makes
it more transparent that Block uses two different ways to choose a
block (see also Block::chooseBlock), and (2) makes it possible to
re-use newLoad to get multiple blocks.

Also, filter out any duplicate autoblocks that are found by newLoad.

Bug: T206163
Change-Id: Iefa3aaadf2954c3b86f5c691096af31de40fae6c

Make userLink() not fail too hard on false and null.

This works around an issue in Flow, which sometimes passes false
for a user name.

Bug: T224095
Change-Id: I14dc52f7199012dc35605f3170b06eb1719165a7

Merge "Fix return type of UploadBase::check* functions"

Merge "Allow int as return type of MediaHandler::isMetadataValid"

Merge "Fix type to callable on FileRepo::getErrorCleanupFunction"

HTMLForm: Use PHP 5.6 splat operator directly instead of ObjectFactory

Change-Id: I3fddf30f1b0fc2cce79f652cb71efba119439a9f

Merge "Add action=query&meta=languageinfo API module"

Localisation updates from https://translatewiki.net.

Change-Id: I98b20ec1bd615860212c254729a20ed998a76ba1

Fix return type of UploadBase::check* functions

Change-Id: I37964663fc8cb63575c1e0be9c5ced489d69136e

Allow int as return type of MediaHandler::isMetadataValid

MediaHandler::METADATA_COMPATIBLE is a int,
which is a possible return value here

Change-Id: Ia84139ee8e09839e1f46a6d34738612dfd365415

Fix type to callable on FileRepo::getErrorCleanupFunction

Change-Id: Idb07fb2d6ade9eb3619ecea5516d7e9815b7bb54

Hard-deprecate SkinFactory::getDefaultInstance()

Was soft-deprecated in 1.27.

Change-Id: I5f4afefc6c439c7e8d173a844c76ccd693f9bbf1

Merge "selenium: Re-add all tests and wdio-mocha-framework, now v0.6.4"

Merge "Set content language for test to en to ensure it passes"

Localisation updates from https://translatewiki.net.

Change-Id: Iebfb3ccd127a9dab6dac283fe6d6f3427422c004

selenium: Re-add all tests and wdio-mocha-framework, now v0.6.4

This reverts commit c3878c08b5275123972354ba5479d3315c4fefb4.

Now that we're running on node10, this will fail until we fix
things.

Bug: T213268
Bug: T222406
Change-Id: I5935fc5d5bc23978e50275d3c99ac870b3b82f49

Improve type hints to special page related classes

Change-Id: I96e2ff2fbd6f69e83212b22cf107417014b665e1

Set content language for test to en to ensure it passes

Change-Id: I5bff92e304795ac4f76fd07f12f3598fbf816f39

Merge "HTMLForm: Remove deprecated unused getErrors() method"

Merge "make sure revision uids are 0 in the xml if missing/0 in the db"

Merge "selenium: Temporarily drop all tests and wdio-mocha-framework"

Merge "Add missing newline between <?php and namespace/use section"

make sure revision uids are 0 in the xml if missing/0 in the db

Bug: T224221
Change-Id: Id9861866fd9e4d2fe8d151c9631403aa24b9a779

Merge "Use ExtensionRegistry::setAttributeForTest() instead of Reflection"

selenium: Temporarily drop all tests and wdio-mocha-framework

This is so that we can migrate to node 10 in CI. It should only land
for an hour or so, and is to be reverted as soon as we get CI up to
node 10 and working, lest our suites of selenium tests become
subject to bitrot.

Bug: T222406
Change-Id: I9473e0213c070a0e963913fd81062c6bbf9ec2f2

Merge "Remove usage of deprecated SkinFactory::getDefaultInstance()"

HTMLForm: Remove deprecated unused getErrors() method

Was deprecated in 1.28 and no longer used, see usage below;

Usage
=====

https://codesearch.wmflabs.org/search/?q=%5CbgetErrors%5C(%20(.*%3F)%20%5C)&i=nope&files=&repos=

Bug: T220656
Change-Id: I542df4f1f7f4180d42282eaf2e069ab0bc9e8614

Merge "Add a "help" button for action=info"

Add missing newline between <?php and namespace/use section

The rest of the codebase is using this code formatting standard.

Change-Id: I4d2ba61757a7e28d40096d9dc5915005c340d4f2

Add action=query&meta=languageinfo API module

This API module can be used to get information about all the languages
supported by this MediaWiki installation. Since parts of this
information, such as the fallback chain, are expensive to retrieve if
the localization cache is not populated, we apply continuation if the
request is taking too long (suggested by Anomie in T217239#4994301); we
don’t expect this to happen in Wikimedia production, though.

Bug: T74153
Bug: T220415
Change-Id: Ic66991cd85ed4439a47bfb1412dbe24c23bd9819

Merge "API: Migrate Title::userCan() calls to PermissionManager"

Merge "always order by page_id for dumps of current revisions"

Merge "Wording"

Add a "help" button for action=info

Bug: T224848
Change-Id: Id72fb9134ce889b9610ca088e53799804580903e

Use ExtensionRegistry::setAttributeForTest() instead of Reflection

Change-Id: If29e8825f1734f8c0efa21aa77f6354fa3468248

Remove usage of deprecated SkinFactory::getDefaultInstance()

Change-Id: I3bd50f8ca5baabd34dbc0e3bbc2f97e94650a17a

Localisation updates from https://translatewiki.net.

Change-Id: Ia730eebb70ecece0daca1d97c3d541a767777ecc

Wording

In GitInfo, the debug sentence "Computed cacheFile" could imply that some
file is written, but in reality "computed" refers to the name. Change to
"Candidate cacheFile".

Bug: T215722
Change-Id: I19448e5790a0f2fcb5202170ca03ab0f5e16d24e

Add a "help" link for Special:PermanentLink

Bug: T224793
Change-Id: I4099b1a794df8477842d5f018d63304cef99d372

Merge "Improve changePassword.php error handling"

Merge "Allow $conds of IDatabase::selectRow to be a string"

Merge "Fix typos in DefaultSettings"

Merge "Inline trivial …_internal() methods in Title/UserArray classes"

Allow $conds of IDatabase::selectRow to be a string

When not having a condition you can pass a empty string or '*'

Change-Id: Id1bb6cf6e6bd89ad2df492e7441253d06fcf2a2d

Merge "rdbms: cleanup code for read-only propagation for master connections"

Merge "Add CirrusSearch dev dependency to require-dev"

Fix typo in docs

Change-Id: I69085afd4f3475ae6449a0e3683a28ccddf47445

Merge "Make sure that each DataUpdate still has outer transaction scope"

Merge "rdbms: make resolveDomainID() use more consistent in LoadBalancer"

rdbms: cleanup code for read-only propagation for master connections

Make "readOnlyReason" immediately propagate from LoadBalancer to the
DB handle even when getConnection() with DB_REPLICA yields a master
DB handle. This can happen when the master has a non-zero "load".
Previously, it would not be set until something later used DB_MASTER
with getConnection(). This didn't really effect anything but seemed
confusing.

Short-circuit getLaggedReplicaMode() when the reader index uses the
master DB since there is no chance of lag. Also simplify it to just
calling getReaderIndex(), which since nothing else is needed to set
the "laggedReplicaMode" field.

Also rename "readerIndex" field to "genericReadIndex" and "loads"
field to "genericLoads" for clarity.

Change-Id: I6dc28933d2f94f0de1e8f9c5b2b8d2cf8a1a9d08

Merge "rdbms: clean up and refactor ResultWrapper classes"

Merge "Consistently use spaces and stars in comments"

Make sure that each DataUpdate still has outer transaction scope

Bug: T221577
Change-Id: I620e461d791416ca37fa9ca4fca501e28d778cf5

Localisation updates from https://translatewiki.net.

Change-Id: Ib076d5736f1bea05df4c649cddd1b12ea6cc3af4

Add CirrusSearch dev dependency to require-dev

Adds symfony/yaml for parsing event schemas used by EventBus
as part of the CirrusSearch test suite. The dependency needs to be
added to core to support CI testing extensions that depend on
CirrusSearch.

Bug: T220723
Change-Id: Iddbfb81fb667980470d6872c34a1e63897f1e4af

API: Migrate Title::userCan() calls to PermissionManager

T208768 introduced the PermissionManager service that can now be used
for page specific permission checks. This change replaces calls to
Title::userCan() with the new service in API classes.

Bug: T220191
Change-Id: I768d07a520ca6473a4eefb88c9f587657bc74357

Merge "Cleanup LinkerTest leakage between provider entries"

Merge "Fix empty auto-summaries triggering a fatal error."

Consistently use spaces and stars in comments

Change-Id: Ia8e005ec65b5a98b12fc1c079604db175b731a88

Fix empty auto-summaries triggering a fatal error.

Aka:  Streamline Linker::formatAutocomments() and add tests

This uses the "streamlining" for the code proposed by Thiemo
in I38edc1ad7720. I have squashed the two commits, so it now
has his code in Linker, but still has my tests as well as his.

Thiemo wrote on his patch:
This also changes the output in case there is no fragment to link to.
Before an empty `/* */` in a summary this would have created a link to
the page. I would like to argue this is not what a user expects.

Bug: T222628
Change-Id: I05408ede0e20dfd976f4057fc5baab461d2ef769

Merge "Revert "Factors out permissions check from User into PermissionManager service""

Revert "Factors out permissions check from User into PermissionManager service"

This reverts commit 7faa7a7420866ec685863c1d6c530bd4999da643.

Reason for revert: T224607

Change-Id: I549810a4cd2e424cc4a438887d2f24614a24cc00

rdbms: make resolveDomainID() use more consistent in LoadBalancer

Use the method in getConnection()/openConnection() and make it
handle the local domain alias as well.

Also:
* Move some code to a new getConnectionIndex() method.
* Make the text of various index/domain exceptions more consistent.
* Improve some auto-commit flag code comments.

Change-Id: I7e0d4f2134ee91ad60b0d34bf01e05115193b04a

Cleanup LinkerTest leakage between provider entries

The problem was that new revisions were being added to the same page
since it is not deleted between each run.

Change-Id: I52e8db8e5ef3cde309c26f928fd44de4e6ec18e4

Merge "jquery.suggestions: Do not show suggestions on prefilled values"

jquery.suggestions: Do not show suggestions on prefilled values

Show the suggestions on load only if the current value differs to the
defaultValue from the HTML. This prevents suggestions if there is
already a prefilled value in the input field.

Also direct call $.suggestions.update() instead of trigger a keypress.

This change is a follow-up to 72f61f7a5930cf03d4e8ddde62c2ef627b05dd69.

Bug: T224524
Change-Id: I501596996a20c62d1497bf66e23c7858b58bf4ea

Merge "Fix typo in comment about class name"

Merge "Print chained exceptions when maintenance script fails."

Merge "Add checkDependencies.php"

Inline trivial …_internal() methods in Title/UserArray classes

This code is quite old. I can't tell why it was written this way.
But I can see these methods are never used anywhere else. We can as
well inline them.

Change-Id: I252f4d2b2b2da822c8d43ffc1f088f5848034c5e

Fix typo in comment about class name

Change-Id: I52e2b9f6553f4d3977c609bc1e2bc86c24e0c9c7

Merge "parser: list the vary-* flags in the NewPP report HTML comment"

parser: list the vary-* flags in the NewPP report HTML comment

Change-Id: I5a4afba2bfdb5b5b56ba0a01ed8ff444a67fbb1a

Merge "WatchedItemStore: Remove deprecated Title param to getNextRevision()"

Factors out permissions check from User into PermissionManager service

The following methods should are factored out of the User class into PermissionManager, leaving only deprecated stubs:

- User::isAllowed -> PermissionManager::userHasRight
- User::getRights -> PermissionManager::getUserPermissions
- User::groupHasPermission -> PermissionManager::groupHasPermission
- User::getGroupPermissions -> PermissionManager::getGroupPermissions
 -User::getGroupsWithPermission -> PermissionManager::getGroupsWithPermission
- User::groupHasPermission -> PermissionManager::groupHasPermission
- User::isEveryoneAllowed -> PermissionManager::isEveryoneAllowed
- User::getAllRights -> PermissionManager::getAllPermissions

Depends-On: I258f02e286b6ba0387e1bff540a744fafb03dc55
Depends-On: Ie4cedf457eaaa93ec3055c37539322855e02ce26
Depends-On: Id274f240d687efa61cb9f7a15033ae2a7a532083

Bug: T218558
Bug: T223294
Change-Id: Ia0d840b772ea5f20c9594ce151cc57adc270e48b

rdbms: clean up and refactor ResultWrapper classes

Change-Id: Ib1d71dbbd31e134cf89dca58f7aa77bdddc828c0

Update OOUI to v0.32.0

Release notes:
 https://phabricator.wikimedia.org/diffusion/GOJU/browse/master/History.md;v0.32.0

Bug: T141320
Bug: T163142
Bug: T169484
Bug: T178950
Bug: T180730
Bug: T203859
Bug: T212186
Bug: T213884
Bug: T215644
Bug: T219479
Bug: T220239
Depends-On: Ia65a8053082ac95bf89cb5484aa64668fb780735
Change-Id: I0a48885642b86950180d1fbe4c7a609d323fb87f

Merge "Rename Block to MediaWiki\Block\DatabaseBlock"

Fix typos in DefaultSettings

Change-Id: I692286d68bdf5585694c8a65d9d9d512f813fb9e

Merge "Fix typos in MessageCache"

Merge "media: Fix $ext property name in BmpHandler::getThumbType()"

Merge "EditPage: Remove unused deprecated method ::submit()"

Fix typos in MessageCache

Change-Id: I5ede5ad5687144535545248940ca6f676f514900

Merge "Hard-deprecate Title::moveTo and friends"

Merge "Finish sentence in MultiUsernameFilter documentation"