Add support for blacklisting common passwords

This changes the default config to not allow the top 25 passwords
to be used by Sysop/Crats. This should almost certainly be set to
a higher number, but I think its best to wait until after this is
comitted to argue over what the best value is.

I would expect that once this is comitted, there would be a config
change for wmf wikis, so that there is no change until this has
been discussed with the community.

The included common password file was generated from the first
10000 entries of
https://github.com/danielmiessler/SecLists/blob/master/Passwords/rockyou.txt?raw=true
10,000 was chosen based on csteipp's suggestion.

Change-Id: I26a9e8f2318a1eed33d7638b125695e8de3a9796

Localisation updates from https://translatewiki.net.

Change-Id: I13ff9d21bd07513cf26dfddbce091418c62d38e7

Merge "phpcs: Use __DIR__ constant instead of calling"

Make JobQueueAggregator::doNotifyQueueNonEmpty() avoid queries

Avoid 2 of the 3 queries in doNotifyQueueNonEmpty(), the ones
that register the queue, once such a command has been done in
the request already.

Change-Id: I58553f0c56660f05a3e3000065270baebb8cbb62

phpcs: Use __DIR__ constant instead of calling

Replaced all dirname(__FILE__) by __DIR__ or added
@codingStandardsIgnore

Found by tests:
https://integration.wikimedia.org/ci/job/mediawiki-core-phpcs/2736/consoleFull

Change-Id: I90ff10f183ed60175fe580c43d73c0e57fd04234

Clean up some wfDebug() calls in LoadBalancer

Change-Id: I01143bec5b084a32c3edd836d194c0a17ca0e43c

Merge "Generalize the LinkCache clear() call to JobRunner"

Localisation updates from https://translatewiki.net.

Change-Id: I71454ec5faa274e2b0e768a041c0a595009be4e0

Generalize the LinkCache clear() call to JobRunner

The use for this logic is not specific to RefreshLinksJob

Change-Id: I4bb911ab5882d1795e12163df8ae6b227c58bc8a

Localisation updates from https://translatewiki.net.

Change-Id: I9891f7770ff4ccf0f12847c1e903a85cb030789a

Add i18n messages for API feedrecentchanges 'categories' and 'categories_any'

Bug: T118515
Change-Id: I7ae7c474aacceea0346991882f1f44cc6c998c7d

Merge "resourceloader: Update MessageBlobStore documentation and code cleanup"

Merge "Remove PHP detection from entry points other than index.php"

resourceloader: Update MessageBlobStore documentation and code cleanup

* Update and improve class documentation.

* Remove comment that claims to return false if the module has no message.
  generateMessageBlob() returns '{}' in that case. And this is expected since
  we want to cache the absence of messages.

* Re-use the module objects passed to MessageBlobStore::get() in getFromDB()
  instead of using ResourceLoader::getModule(). The object is the same either
  way (since ResourceLoader re-uses the objects also) but reduces complexity
  of getFromDB() to not need the ResourceLoader object as parameter.

Change-Id: I89a14d7185877fae52791f6837883ed3a6749cd7

Add LBFactory::disableChronologyProtection method

This is useful for things like job running entry points by
avoiding pointless overhead.

Change-Id: I007273dd95e6a2e9d258d475d383bc869d63f7b1

Decouple ChronologyProtector from user sessions

* It now works for users without using sessions.
  Sessions should not be cluttered with things
  unrelated to authentication and tokens.
* Public services doing api.php requests on behalf
  of a users only need to set XFF headers (as normal)
  for position wait logic to trigger. They can opt out
  of ChronologyProtector via a new HTTP header
  "ChronologyProtection: false".
* Requests across subdomains, such as the SUL2 handshake
  for CentralAuth on account creation, now have position
  wait logic applied. This helps avoid anomolies were a
  row just written in the last request may not be seen.
* Use merge() to avoid rolling back master positions if
  the user has multiple tabs open and doing writes at once.
* $_SESSION global state is gone from ChronologyProtector.
* Cleaned up post-send LBFactory::shutdown() logic for
  avoiding master position writes with an explicit flag.
* Use 'replication' debug log group in more places.

Bug: T111264
Change-Id: Ib25d05994d62b25c2f89e67b7f51009c54f4bca8

Merge "Move down $logEntry publish() call in recordUpload2()"

Remove PHP detection from entry points other than index.php

The following entry points already didn't have it:

* opensearch.php
* thumb.php
* thumb_handlers.php

Now removed from api.php and load.php as well. The check was broken
because these entry points use the 'use' keyword for PHP namespaces,
which results in a syntax error on PHP < 5.3.

The check remains in index.php, mw-config/index.php, and
Maintenance (for e.g. install.php).

Bug: T112942
Change-Id: I9026d69ddfb3e02612256b4a9df525c432bb33c6

Localisation updates from https://translatewiki.net.

Change-Id: Ifab8c58dd1e702c586d0e9003a86d77cbfe92830

Merge "Add file extension mapping for opus"

Release notes for Ic7cd6f77

Change-Id: I5da293a98f8de8172acc64987b8ef7b9fc7da98b

Move down $logEntry publish() call in recordUpload2()

This was moved before the defered doEditContent() call
for new pages by mistake.

Bug: T118433
Change-Id: I007acf82622ec6d68c007921f632793392025f40

Merge "Followup a88df43d: make $wgDebugDumpSql log commented queries again"

Followup a88df43d: make $wgDebugDumpSql log commented queries again

Change-Id: I0c10b2119f03fa047dbb2bad1c4c1233403bff59

Merge "Remove spammy wfDebug() from LocalFile::loadFromCache()"

resourceloader: Remove deprecated MessageBlobStore::getInstance()

Deprecated since MediaWiki 1.25.
Not used anywhere in public Wikimedia Git.

Change-Id: Iaa31d0e83b95fb033c62430bc3fc4dd66af16906

Merge "startup.test: Add IE11 and Edge strings to Grade A tests"

startup.test: Add IE11 and Edge strings to Grade A tests

Change-Id: Ia4fa69c1abfb8381913885aada0784a04c22aa7c

Merge "Really validate that $wgArticlePath starts with a slash"

Merge "Cleaner Special:Watchlist options form"

Merge "Allow undo via ApiEditPage for all content models"

Really validate that $wgArticlePath starts with a slash

The regular expression wasn't entirely correct.
Follow-up to a4a3d0454069c25a24e2bfe732a665cc6a865878.

Bug: T48998
Change-Id: I08bdf2db20c1c3de55527fc812bcbb55fa23f7bc

Remove spammy wfDebug() from LocalFile::loadFromCache()

Change-Id: I36ad31f197ec8f71c97e6a8673ac5ca979f8d9ab

Localisation updates from https://translatewiki.net.

Change-Id: I197a422a9cd705e75853fbbbd6da01714a3e22f1

Allow undo via ApiEditPage for all content models

It might be even nicer to separate undo into action=undo,
but for now undo is done via ApiEditPage and should be
allowed for all content models.

Bug: T101694
Change-Id: I833bcc20d86fa5bf216dc9444e2b8a16ddd45f66

Merge "Update OOjs to v1.1.10"

Update OOjs to v1.1.10

Release notes:
 https://git.wikimedia.org/blob/oojs%2Fcore.git/v1.1.10/History.md

Change-Id: Id19682f59690aafc70fa05c6febf32b1206090c2

Merge "Make TitleInputWidget configurable, if term should be highlighted or not"

Merge "mw.loader: Use requestIdleCallback to update module store"

Merge "Add flexbox mixins to mediawiki.mixins"

Merge "Language: Convert names cache from MapCacheLRU to HashBagOStuff"

Merge "Title: Convert cache from MapCacheLRU to HashBagOStuff"

mediawiki.Uri: Remove redundant jshint overrides for latedef

These aren't being violated. They were either left-over from
refactoring or added to work around bugs in JSHint that have
been fixed since.

Change-Id: I3ac4a6e97b6294f392ae9ec2474eab448b044a13

Merge "build: Enable all remaining jsduck jsDoc rules except two"

Merge "TitleSearchWidget: Only update results if the query is current"

Merge "UserMailer: Use PHP_EOL instead of DIY"

TitleSearchWidget: Only update results if the query is current

With near-simultaneous inputs (e.g. holding down the backspace key
while deleting text) you can cause the suggestion promise to resolve
out-of-order. This causes apparently incorrect suggestions to be
displayed for the current input.

To fix this, abort the existing promise if it exists.

Bug: T114178
Change-Id: I9332452fd914b54e7c564284da2a8a00865ae806

UserMailer: Use PHP_EOL instead of DIY

Also fixes arrayToHeaderString() to be correct when called without
the $endl parameter

Change-Id: I8b9f72500f9a055f9f2e1cfcbb276d565674f1b8

Add flexbox mixins to mediawiki.mixins

Includes some fallback support for 2009 (old firefox and some mobile
browsers) and 2012 (IE10) specs.

Change-Id: I0c6fca82b778a28930bf83fd43a3059858fe9243

Merge "Avoid using !important and hide the nolabel instead"

Merge "Update OOjs UI to v0.13.2"

Merge "Make runOnTransactionIdleCallbacks() handle dangling transactions"

Update OOjs UI to v0.13.2

Release notes:
 https://git.wikimedia.org/blob/oojs%2Fui.git/v0.13.2/History.md

Change-Id: I0626d91d4b93e1d680579f1e6a02555c6050127f

Merge "Validates wgArticlePath does start with slash (/)."

Validates wgArticlePath does start with slash (/).

When relative URL used in $wgArticlePath, and $wgArticlePath does not
start with slash (/), raise FatalError.

Bug: T48998
Change-Id: Ic7cd6f774cff97081f4f35af351161170b4b26eb

Merge "Avoid doNotifyQueueEmpty() race conditions for Redis"

Avoid doNotifyQueueEmpty() race conditions for Redis

Previously, races could cause queues to be seen as empty
and ignored when they actually have jobs in them.

Change-Id: I6cdf5c1fbd33c9ed7982e5d2d494974b1d7e09fd

mw.loader: Use requestIdleCallback to update module store

.. instead of setTimeout.

Also adapt the code accordingly since it is no longer needed to
cancel and re-schedule an update every time update() is called.
This is already handled by requestIdleCallback.

We can let the already-scheduled callback survive. The data
that will be saved is serialised during the flush anyway,
not when scheduling.

Change-Id: Iea48919b4baba7647040b6ed9ff4b6d0d387b962

Make TitleInputWidget configurable, if term should be highlighted or not

Depends on: I36502da43c383373

Bug: T106273
Change-Id: I393eef9cd20bdf80e4db72891f23de08bcdfd376

Localisation updates from https://translatewiki.net.

Change-Id: Ic027cac2ca0839cbb6083078c5a90eabee280510

Merge "Migrate feeds from $messageMemc to the WAN cache"

Merge "Various JobQueue test tweaks"

Avoid using !important and hide the nolabel instead

Instead of playing catchup with width settings, let's simply hide the
table cells with nolabel. This seems closer to the original intent,
and it works with at least IE8 as well, so why not.

It does effectively move every element without a label 1em (padding) +
1px to the left in your preferences. This will likely be noticeable by
endusers.

Follow-up to: I24d9b16ed672

Change-Id: I92083687ef8a9a6e5fc9c822f9449a1aa7ed7ea1

Merge "Make getLaggedSlaveMode() use reuseConnection() as needed"

Merge "resourceloader: Log if MessageBlobStore failed to fetch a message"

Make getLaggedSlaveMode() use reuseConnection() as needed

Bug: T118162
Change-Id: I03e1386b952a9e9243518c12fb175727f81c9976

Merge "Make FindOrphanedFiles handle bad file titles"

Merge "Make FindOrphanedFiles handle files with ! properly"

Migrate feeds from $messageMemc to the WAN cache

This makes the delete() calls work properly for all DCs.
Also, using the message cache was fairly bizzare.

Change-Id: Idec7fa47811e982ba89bb8fbbd9565a26585e77f

Merge "Move Math specific CSS from core to extension"

Merge "SpecialAllMessages: Use cached getHtmlCode() instead of wfBCP47()"

Implement mw.requestIdleCallback for deferred background tasks

We often use the idiom "window.onload" or "$(window).on('load')".
Since code loads asynchronous, this is problematic because the event won't
always be observed as it may fire before the event handler is attached.

Most tasks also don't really want to wait until the page is loaded (in which
case it would run immediately if the page is already loaded). Rather their intent
is just to defer it to a later point in time – to avoid disrupting user events.

Bug: T111456
Change-Id: Ieba0440c6d83086762c777dfbbc167f1c314a751

SpecialAllMessages: Use cached getHtmlCode() instead of wfBCP47()

Follows-up 5efbb10f

Change-Id: Icf00a4a20559d666b2ac551b933873e695735c9c

Move Math specific CSS from core to extension

Depends on I3775980916de12aef23bac85c38a6f92253aa479
in extension Math.

Bug: T110492
Change-Id: If6a4ca34a54c451cdb10d011ffd806a34cbccd2c

Mention main WAN and stash instances in cache debug statement

Change-Id: Ic98ce5aecc093400f23d3595be75df3bf54268bf

Various JobQueue test tweaks

* Remove some getAcquiredCount() assertions when claimTTL=0
  as this is not well defined enough (queues may take a few
  minutes to garbage collect the failed jobs).
* Added some tests to make sure push() only de-duplicates
  among unclaimed jobs.

Change-Id: Ie0a5e539095c245dfcc8c160417e12824eb7ab83

Improve LoadBalancer::doWait() performance via APC

* This avoids bothering with MASTER_POS_WAIT() if an equal/higher
  position was already successfully waited on by another process.
* Add DBMasterPos toString() and hasReached() methods, which
  MySQLMasterPos already implemented and used.
* Moved more wfDebug() statements to the 'replication' log.

Change-Id: I423b5fe2da8d97889a6d204a635e351342de7649

Merge "Break long lines and cleanup some RefreshLinksJob checks"

resourceloader: Log if MessageBlobStore failed to fetch a message

Bug: T93800
Change-Id: I6f174251a6b9a6b31921037f672dbc197f3abb7e

objectcache: Reduce MediaWiki-specificness from Memcached classes

Follows-up f36b73e96c, which moved these classes to libs/objectcache.

* Fix wrong @throws in MemcachedPeclBagOStuff.
* Fix wrong @returns in MemcachedBagOStuff::getClient().
* Rename MWMemcached to MemcachedClient.
* Remove mention of 'memcached.php', which doesn't exist anymore.

Change-Id: I34dbc859be4778cea489fd2344f233f30452605c

Merge "Sync up with Parsoid parserTests."

Merge "Removed useless field in SqlBagOStuff"

Merge "Upgrade JobRunner "COMMIT ENQUEUED" log entries to WARNING"

Sync up with Parsoid parserTests.

This now aligns with Parsoid commit b869b084be641d0e2150648ea926ca974590e6e3

Change-Id: I3e8ebd578db8b6630d23ebbdedb5036fa5a092e5

Removed useless field in SqlBagOStuff

Change-Id: I27c0b35769667ce48ba761ff4bbc828033c6849d

Merge "MessageCache: Remove redundant Language::ucfirst() optimisation"

Merge "languages: Avoid getPreferredVariant() in ucfirst/lcfirst unless needed"

Upgrade JobRunner "COMMIT ENQUEUED" log entries to WARNING

Change-Id: I3f3bbb5c3a59975e152b099481dc07617c845b8e

languages: Avoid getPreferredVariant() in ucfirst/lcfirst unless needed

This method calls out to LanguageConverter which involve the User,
Request, and additional validation.

Change-Id: I3edae1244073767a8d8888708024bb5498c70dc9

MessageCache: Remove redundant Language::ucfirst() optimisation

Language::ucfirst() already has this optimisation. The expensive
method is Language::uc(), which is only called when needed.

The ord() < 128 is one of the conditionals in Language::ucfirst().

Change-Id: Idd648b7b84eba1f92dda904438122fe38d3cf22b

Merge "BacklinkCache: Remove use of ProcessCacheLRU"

Merge "Don't apply CSS columns if less than 3 results were found on AllPages & PrefixIndex"

BacklinkCache: Remove use of ProcessCacheLRU

Follows-up af89b09a06 and e40a90f0bc, and general phasing out
of MapCacheLRU and ProcessCacheLRU.

Use of ProcessCacheLRU seems redundant in this case as it is
essentially just a keyed singleton.

Change-Id: I7cc84cf6c76ecc422ea337dba2d216c3d7ebf281

Language: Convert names cache from MapCacheLRU to HashBagOStuff

Change-Id: I3237c8ed97d23e82caa171d936ecb5745a2fe3d5

Title: Convert cache from MapCacheLRU to HashBagOStuff

Change-Id: I0d4c21be1356216970d9ad424ffc848f82778e50

LinkCache: Convert from MapCacheLRU to HashBagOStuff.

Change-Id: I28a9509ad4c6d724a12dc72bc50d3cf58642c651

LinkCache: Minor clean up of documentation and variable names

In preparation for conversion from MapCacheLRU to HashBagOStuff.

* Use early-return pattern for error and rejection cases.
* Add 'int' to @return for getGoodLinkFieldObj() per the
  values set in addGoodLinkObj().
* Add type hints for Title where possible.
* Avoid single-letter variables like $f and $s.
* Add visibility for public static methods.

Change-Id: Iab90539922f648c21cb147f749943a64f598e8de

Localisation updates from https://translatewiki.net.

Change-Id: Ibb56238c1948221039ad18c36cba14af79881847

Merge "Convert LCStoreDB to using startAtomic/endAtomic"

Merge "Revert "Disable Preferences save button before setting change""