Merge "Parse wikitext in gallery caption"

Merge "Protect legacy URL parameter syntax in link and alt options"

Protect legacy URL parameter syntax in link and alt options

HTML doesn't allow certain semicolon-less HTML entities in attribute
values to avoid breaking legacy markup like:
  <a href="http://example.com?foo&param=bar">...</a>
(Note that the & in that URL is not properly entity-escaped as `&amp;`.)

Unlike wikitext, HTML generally allows semicolon-less legacy entities
in text.

Our alt and link option processing shove text through
Sanitizer::stripAllTags, which does entity decoding including these
legacy semicolon-less entities.  Wikitext doesn't allow semicolon-less
entities, so escape & characters where appropriate to protect alt/link
options and avoid breaking URLs.

This was a "regression" in how alt options were handled starting in
ddb4913f53624c8ee0a2a91bd44bf750e378569d when we switched to using
Remex for Sanitizer::stripAllTags -- semicolon-less entities (previously
invalid in wikitext) were now being decoded when stripAllTags was
called on alt text.  This change became a problem when
ad80f0bca27c2b0905b2b137977586bfab80db34 sent link option text through
Sanitizer::stripAllTags (with the new semicolon-less entity decode)
instead of PHP's strip_tags (which, in addition to its other faults,
doesn't do entity decode at all).  This suddenly started decoding
"non-wikitext" entities like `&para` inside URLs, breaking links.
Filed T210437 as a follow-up to consider changing the behavior
of Sanitizer::stripAllTags() globally to prevent it from decoding
semicolon-less entities for all callers.

Bug: T209236
Change-Id: I5925e110e335d83eafa9de935c4e06806322f4a9

Merge "Preferences: Remove unused message for RC/Watchlist opt-out section"

Merge "Migrate ApiQueryLogEvents from tag_summary to change_tag"

Merge "Split ChangeTags::modifyDisplayQuery() to two smaller functions"

Merge "rdbms: rename setDomainPrefix to setLocalDomainPrefix in ILoadBalancer"

Merge "Add logging for redundant parsing to WikitextContent."

Merge "Use stashed ParserOutput during saving."

Add logging for redundant parsing to WikitextContent.

Bug: T205369
Change-Id: I67bfdc0340e0ddc1ecdaf3323f2171b2e752c680

Localisation updates from https://translatewiki.net.

Change-Id: Ibc3a851342d0559915206fc3b9ef2ba47fb1a065

Merge "mediawiki.ui: Remove unused `.mw-ui-checked` class"

Merge "Install wikimedia/password-blacklist 0.1.3 (fix-up)"

Preferences: Remove unused message for RC/Watchlist opt-out section

Also remove the mapping from "optoutwatchlist" and "optoutrc" to
"opt-out".

Bug: T207741
Change-Id: I7aecf11496d2f13d11944b5ce1910362c4268ad4
Follows-Up: I8d6795f5e39fa5bceabd2da5e6a5b43d009a3bab

rdbms: rename setDomainPrefix to setLocalDomainPrefix in ILoadBalancer

Update CloneDatabase and unit test callers, which are the only things
that are likely to call it.

Change-Id: Idbc6d2965cd3828c2c6d23012319bbf0fc3ffa4a

Merge "Sync up with Parsoid parserTests.txt"

Merge "rdbms: add ILBFactory::redefineLocalDomain method"

Sync up with Parsoid parserTests.txt

This now aligns with Parsoid commit c900a0c7dbd27cdba09d43971411e6849be73558

Change-Id: I7d7049e4cfbe50d7fe9c90894a6879e1694a3078

Install wikimedia/password-blacklist 0.1.3 (fix-up)

When rebasing/updating 519ff1a402992, I forgot to update composer.json to use
0.1.3 (mentioned in RELEASE-NOTES and the commit message) instead of 0.1.2.

mediawiki/vendor already has 0.1.3.

Change-Id: Ica042a6d2b99e1640b74dcb7290314bd3b0d27c7

mediawiki.ui: Remove unused `.mw-ui-checked` class

Removing `.mw-ui-checked` as it is unused in current codebase.

Change-Id: I7a03215fae0b17dac41d85ffe1bb2634ec09f5c2

Localisation updates from https://translatewiki.net.

Change-Id: I6bc49b217c97059665bc032641d01c1365c8e263

Merge "mediawiki.ui: Move remaining mixin to buttons.less; remove mixins.less"

Merge "Add PasswordPolicy to check the password isn't in the large blacklist"

Add PasswordPolicy to check the password isn't in the large blacklist

Add wikimedia/password-blacklist 0.1.3, which contains 100,000 common passwords

Bug: T151425
Change-Id: I80572fcee6d23ea04ad9ee683157bab9378b660e
Depends-On: I8aea5a44248da9bb9ff7b328679bff6fcf41750d

Merge "ApiQueryBlocks.php: Call static function statically"

Make "→" link to page section on History page larger by adding section name to it

Bug: T165189
Change-Id: I1f845592bd3de342fda84b60fc412055973950fd

Merge "parser: Remove aliases for __EXPECTUNUSEDCATEGORY__"

Merge "mediawiki.special.apisandbox: Fix code for ES5 environments (IE 11)"

Merge "Remove unneeded "eslint-disable no-restricted-properties" from several files"

mediawiki.ui: Move remaining mixin to buttons.less; remove mixins.less

mediawiki.ui mixins are arbitrarily increasing code complexity.
Moving the remaining primary button mixin to the corresponding
buttons.less file and removing mixins.less as logical consequence.

Change-Id: I1299e210a7c8a403e859915bfed3ebecbf1f2f14

parser: Remove aliases for __EXPECTUNUSEDCATEGORY__

Follows-up 4985ce513469fa82a132139a41c2854504475e4a.

This is a brand new magic word, with no history or concerns for
backward-compatibility. Introducing it with four possible ways to
to use it, I think leads to less ideal experience for end-users.

I recognise that this is an attempt to make it easier for users
to get this magic word correctly working, even when a user guesses
the name incorrectly. This is a valid problem but, I do not think
adding more syntax is the right answer to that problem.

Introducing four ways to do the same thing I believe would make it
more difficult to learn the syntax, because they also have to
remember the other variations when encountering it from other users.

I also believe that the value we gain from a user getting it right
via an alias of this keyword is, shadowed by the loss in value
from a user when they get it wrong for all the other keywords.
This is because they'd likely expect the same four varations
(MULTIWORD, MULTI_WORD, MULTIPLE_WORD, MULTIPLEWORD) to apply
there as well. It creates expectations that we are not matching.

I think it is worth investigating this problem, and having four
extra aliases in the syntax could be one of the proposals to solve
that problem. However, we should discuss that on Phabricator and,
if we agree to it, apply it universally, not just to one keyword.

Bug: T96041
Change-Id: I5621cee70e6f791a161f21ebda8c5a7243e5947e

Merge "Localisation updates from https://translatewiki.net."

Localisation updates from https://translatewiki.net.

Change-Id: I941735cac9508aa5825329ba77ca760bf7250769

mediawiki.special.apisandbox: Fix code for ES5 environments (IE 11)

The method Array#findIndex was introduced in ES6 [1] and we still
support browsers that only implement ES5, like Internet Explorer 11.

[1] https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/Array/findIndex#Specifications

Change-Id: Idaebef7c91f2683099ab4980833ed76f0e3b51eb

Remove unneeded "eslint-disable no-restricted-properties" from several files

This was added in 160fc196fe43300843cc6cb68ad912051b7fb1d9 to suppress
warnings about usage of jQuery utility methods.

In eslint-config-wikimedia v0.9.0, the jQuery utility methods got its
own warning code, and change 3e4e0a5774cb7531c8be7516e57550477489753d
updated all files that use them to suppress each individual warning,
but did not remove this now-unnecessary global suppression.

Currently (since 6ad73362f376a0399bd1568fe7bbf40425737311), these
comments are instead incorrectly suppressing warnings about usage of
JavaScript methods introduced in ES6 and later.

Change-Id: Ie70aeb325946c8e6b62333e1ca1515cd0f5f326b

mediawiki.ui: Fix quiet button styling and remove mixins

Quiet progressive and destructive buttons are applied right visual
properties.
Mixins make only sense when they are called several times, it
diminishes readability here and unnecessarily complicates the lookup
of values being set correctly. Therefore removing them.
Also introducing selected variables following WikimediaUI Base naming
convention in order to be replaced easily in future.

Bug: T210115
Change-Id: Iee1559ed185a12bf77fc68b6ef7f10e9a0536b07

Merge "Replace mixin by inline styles"

Merge "mediawiki.ui: Remove `.agora-inline-label-styling()` & `.mw-ui-radio-label`"

Merge "Avoid HTML string parsing"

Merge "build: Use eslint-config-wikimedia v0.9.0 and make pass"

Avoid HTML string parsing

Identified using https://github.com/wikimedia/eslint-plugin-jquery/pull/12

Change-Id: Ic3ac53804085aa61be54793e7e5f27b23d99a560

build: Use eslint-config-wikimedia v0.9.0 and make pass

Change-Id: I7b5d228a3de4b3006751a427dec907a5bebf2f51

rdbms: add ILBFactory::redefineLocalDomain method

This is intended for use with scripts like addWiki.php to avoid mismatched domain errors.

Bug: T209483
Change-Id: Ie24f83f4e0fad7b01690d2055e1529a4cb0275b5

Merge "rdbms: add DBConnRef sanity check to LoadBalancer::closeConnection"

Merge "Avoid post-send DBPerformance log warnings for page rollback"

Merge "Differentiate comments with and without brackets"

Localisation updates from https://translatewiki.net.

Change-Id: I8237c9d63b01e92747608f9e226339db009fd601

Differentiate comments with and without brackets

Per T205581#4768548 cached HTML might render a comment with
double brackets in the text. The CSS selector should not apply
there so a new class is used.

Using a BEM convention for the time being. This class can be
removed in future if needed.

Bug: T205581
Change-Id: If1552d6ddd4729b8beca45a1ca19ec6ce36e6118

Avoid post-send DBPerformance log warnings for page rollback

Change-Id: I3d4eafc7d9d04647955822d5100d8cf253d80c8a

Use stashed ParserOutput during saving.

The code in DerivedPageDataUpdater that used the stashed ParserOutput from
ApiStashEdit::checkCache was accidentally broken when RevisionRenderer
was introduced in I871978bf79f67c9e7954fb3fc8528d6e365f2cc1.

This is likely the cause for the degraded save timing noted in T205369.

Bug: T205369
Change-Id: I6d8fdda73dccae08d18bfb528b948706f56ad2e0

Replace mixin by inline styles

Replacing `.agora-label-styling()` by inline styles.
It is not useful to have a mixin for this only used in two selectors
of forms.less

Change-Id: I807fdbdca11d2ad6fea120d76c3a56471260c8cb

mediawiki.ui: Remove `.agora-inline-label-styling()` & `.mw-ui-radio-label`

Removing unused `.agora-inline-label-styling()` & `.mw-ui-radio-label`.
CodeSearch shows no results for both aside of self-referencing.

Change-Id: Id339a979a49a0ceeaecb14b54735a198c95c6f13

Merge "mediawiki.ui: Remove deprecated color variables"

mediawiki.ui: Remove deprecated color variables

They became deprecated in Iaef72470c59665. It's time to remove them.

Bug: T210118
Change-Id: Ibc761a2cdc8d04213d149851129cd51ee4661899

Localisation updates from https://translatewiki.net.

Change-Id: I52023afe0a2109f4f7acae9f15542b34aacd1a98

Merge "mediawiki.ui: Let quiet button border remain"

Merge "Remove hardcoded parentheticals from ChangesList "comments""

mediawiki.ui: Let quiet button border remain

It's a better approach to let quiet button `border-width` remain for layout
predictability, only changing `border-color`.
Similar approach is taken in OOUI.
Also add `@border-width-base` variable similar to WikimediaUI so it
is easily replacible in in future.

Change-Id: I68d6bde72181004fcd8a0d3e0dee7d9d8e892eeb

Remove hardcoded parentheticals from ChangesList "comments"

From now on, the edit summary in ContribsPager results
will be wrapped in brackets via CSS pseudo elements.

Changes:
* Linker::revComment and Linker::commentBlock now accept a parameter which
can be used to disable wrapping in the text
* ContribsPager makes use of it

Bug: T205581
Change-Id: I60403a4a23d89107b7a28f0c12326d828a76614e

mediawiki.ui: Remove obsolete `text-shadow` from quiet and disabled buttons

Those properties have been overrides to the normal buttons old look,
they haven't been removed when the buttons were changed in
I25e5ce7e6fafc19d8b925b6918c98dd61b423d64.

Change-Id: I3aac8683ae7bd5402721dba23d0dbaf9d9c2a1ac

Merge "Update wording for RC and Watchlist UI opt-out option"

Merge "Convert $archivedRevisionCount to integer."

rdbms: add DBConnRef sanity check to LoadBalancer::closeConnection

Change-Id: I0473ffb1f89301530518f1921fe9d5ca68eb194c

Merge "RELEASE-NOTES: Move image_comment_temp note following 8107e47"

Convert $archivedRevisionCount to integer.

Before I81a70ca03fd219d2e96b17714645d9cc4f99b3b9
the archivedRevisionCount argument of the ArticleDeleteComplete
hook used to be an integer, now it's an string. This is backwards
incompatible and needs to be changed back.

Bug: T210013
Change-Id: I297594803fe05cc00cdf209696933b2450d020b6

Merge "Changelist "tags" item is wrapped in brackets via CSS"

Merge "TitlesMultiselectWidget: toggle menu after adding items"

Changelist "tags" item is wrapped in brackets via CSS

In our quest to separate content from presentation,
the parentheticals are moved into CSS. These support translation via
the lessMessages ResourceLoader property.

There is obviously a risk with this change of double brackets appearing.
We might want to consider a new message to avoid this (at the cost of
some translations being outdated). However, I believe it's better to
have the double paranthetical wrap then to have English strings show up
in the wrong places. We can update other translations if
necessary.

Bug: T205581
Change-Id: I9c3fb069fc93800f39a922feab56489f1614785c

Merge "Add class mw-editable in body element"

SQL syntax error in MS-SQL file

Bug: T209870
Change-Id: I91e4f8472832c4bb17eb1d185db1bcbde57a9287

TitlesMultiselectWidget: toggle menu after adding items

Bug: T208876
Change-Id: Ie4e39b41b1796120c720b86bd17b745026a93a5d

ApiQueryBlocks.php: Call static function statically

Change-Id: I0f1a5e5e8169e1cb233f98a831b29e6e302b554c

Merge "Fix partial block translation for non-editing msg"

Merge "Block: Clean up handling of non-User targets"

Update wording for RC and Watchlist UI opt-out option

Bug: T207741
Change-Id: I8d6795f5e39fa5bceabd2da5e6a5b43d009a3bab

Merge "Action::checkCanExecute should only block an Action if the user is sitewide blocked"

Merge "Title::checkUserBlock should call User::isBlockedFrom for every action"

Use $revQuery['joins'] in query in populateSearchIndex

Bug: T209885
Change-Id: Iaf53179535030064788eb107c4ebdd398ed306e4

Localisation updates from https://translatewiki.net.

Change-Id: I193d4a6ddba32cfff69161eb5b3e01db502fd13a

Merge "Log error when array_flip fails in MessageCache load"

Merge "Fix function name in doc comment"

Merge "Make the context page the edited page in EditPages"

CheckMatrixWidget: Remove override of first `tr`

Follow-up to I3f707f667df11. Non-selecting the first row was
introduced when no differntiation of `thead` and `tbody` were available.
Now that it's given, it's time to remove this and apply `:hover` style
consistently.

Change-Id: Ief59eb84cfe442c5be166dea254c0aed9d3909cb

Merge "Add some additional domains to the CSP false positive list"

Merge "CheckMatrixWidget: Fix alignment issues"

Merge "ChangesListSpecialPage: Make maximum limit consistent (1000)"

Log error when array_flip fails in MessageCache load

Bug: T208897
Change-Id: If6e7a6a3019abbdc11b6604ec706cc88bfddf128

Localisation updates from https://translatewiki.net.

Change-Id: I9fda3da2cdd835a99304058be3485b4adc62bc4c

Merge "Show an red error message for a database upgrade error"

Merge "Add generic `font-family` fallback"

Localisation updates from https://translatewiki.net.

Change-Id: I6ed7b4b9816b4be81cc58c71e918331be2373041

Send a 405 on unsupported HTTP methods in API

Bug: T209228
Change-Id: I24af3bfea1ff4b37a72ef5e83b12a8f1c59ca497

Show an red error message for a database upgrade error

Bug: T209344
Change-Id: I640626e10241ca56d34545d1e99f51872c160242

Add generic `font-family` fallback

Change-Id: I65fb9eff81729f7d320d0fa73f88e6c8c5571100

Merge "Reuse DerivedPageDataUpdater during null-edits."

Merge "ContribsPager: Don't hardcode brackets in `uctop` information"

ContribsPager: Don't hardcode brackets in `uctop` information

Style this via CSS.

Known: This will result in double brackets for non-translated
skins until fixed.

Bug: T205581
Change-Id: Ifbe820ae7ad9838b6662bc2592d2b277af443e9d

Merge "HTMLCheckMatrix/CheckMatrixWidget: Adding `th` to `thead`"

CheckMatrixWidget: Fix alignment issues

Bug: T205629
Change-Id: I54c49621f8378d613098683fefe72f59fddbf771

Merge "Improve display of an SQL error during the installation"