Merge "API: Add a unit test to check all modules' i18n"

Merge "Fix spelling mistakes in comments"

API: Add a unit test to check all modules' i18n

It's not perfect since module i18n can vary on configuration, but it
should catch many cases of forgotten i18n.

Change-Id: Ida7e5720fe304c5168fe752b1b5485fe4cb2cb45
Depends-On: I4a0a6c47afdd62e1c9d0b29f066d2a6d1791b52d
Depends-On: I378d112a36c0981ac8d5366e3e1805ead71a85c8
Depends-On: If9e1ae5f1e360385e70bd68ec9847230bd274d9d
Depends-On: If2694de72a62e46cfdc29401c4d2d3756897c998

Fix spelling mistakes in comments

Change-Id: Id608f402e1f308fbe83e6c262e5f2750efb41ebb

Merge "jquery.suggestions: Improve comment about avoiding click interference"

Merge "Handle missing titles and usernames when importing log items"

Handle missing titles and usernames when importing log items

Bug: T121338
Change-Id: Idf95263e4f22225509da4ee07fcb14383028894b

jquery.suggestions: Improve comment about avoiding click interference

Change-Id: I971f6163f08cd419c29cac372157c0336b5fd132

Update cssjanus/cssjanus to v1.1.2

Change-Id: I29ab5aa1f3015f817576d84aad836d22aed012bb
Depends-On: Iaf72a626c75b34a6c9a1b3381a80e74040e72355

Merge "Refresh autoload.php"

Merge "Allow overriding the resultSetType reported via event logging of suggestions"

Refresh autoload.php

/me stabs Aaron

Change-Id: I82233877840273ece1c41da73c998fa2bd1b2c99

Localisation updates from https://translatewiki.net.

Change-Id: I8d03c07972638e68812a6c06d9da00e283374736

Allow overriding the resultSetType reported via event logging of suggestions

Change-Id: I0c1b19019f11b719a6d728d6a46881cc83ca2430

Merge "No-op the notify*/purge methods in JobQueueAggregatorRedis"

Merge "Remove unused ApiStashEdit variable"

Merge "Don't trigger 'wikipage.diff' hook for content that looks like a diff"

Add a new hook AfterBuildFeedLinks to manipulate feed links

Some extensions may want to replace, remove or manipulate a specific
feed link after it was build. For this purpose: Add a new hook to enable
this. The hook isn't meant for adding new feed links, this is already
easily possible using OutputPage::addFeedLink().

Bug: T121774
Change-Id: If48bd07a0e7e67fd1c1a94ebaa28ca9dae146c55

Merge "Make ApiStashEdit use statsd metrics"

Merge "Avoid negative JobRunner time stats"

Merge "Adds i18n for ApiRollback.php tag parameter"

Adds i18n for ApiRollback.php tag parameter

My first patch lacked this but it should now be added.

Bug: T121805
Change-Id: Ie58110e7bd09bf45dfcf10d0d2ca8d0e7b8ad82e

Add $query to JavaScript redirect info

Bug: T109724
Signed-off-by: Chad Horohoe <chadh@wikimedia.org>
Change-Id: I57a8f75067365d3da6388d2f8f7fe95ed5e6f310

SECURITY: Make Special:MyPage and friends fake redirect to prevent info leak

This prevents a malicious person from using external resources on their
website to cause the victim's web browser to load
Special:MyPage -> User:Username, and then looking it up in the page hit
statistics in order to correlate IPs from the malicious person's server
log, with usernames on wiki.

This feature can be disabled with $wgHideIdentifiableRedirects.

Bug: T109724
Signed-off-by: Chad Horohoe <chadh@wikimedia.org>
Change-Id: Ia0e742dc92c77af4832174dfa24c6dcaa6ee80e9

Fix IP::toHex for IPv4 addresses with a double/triple 0 block

Bug: T97897
Signed-off-by: Chad Horohoe <chadh@wikimedia.org>
Change-Id: I5c0a37be42ae2c5091ead487a6d19f6e0dd89b36

[SECURITY] 0-pad to length in random string generation

Otherwise shorter strings might be generated.

Bug: T115522
Signed-off-by: Chad Horohoe <chadh@wikimedia.org>
Change-Id: I110d873d56762552060fd428c236c8b0e9a859b0

SECURITY: Work around CURL insanity breaking POST parameters that start with '@'

CURL has a "feature" where passing array( 'foo' => '@bar' )
in CURLOPT_POSTFIELDS results in the contents of the file named "bar"
being POSTed. This makes it impossible to POST the literal string "@bar",
because array( 'foo' => '%40bar' ) gets double-encoded to foo=%2540bar.

Disable this "feature" by setting CURLOPT_SAFE_UPLOAD to true,
if available. According to the PHP manual, this option became
available in 5.5 and started defaulting to true in 5.6.
However, we support versions as low as 5.3, and this option
doesn't exist at all in 5.6.99-hhvm, which we run in production.

For versions where this option is not available (pre-5.5 versions
and HHVM), serialize POSTFIELDS arrays to strings. This works
around the issue because the '@' "feature" only works
for arrays, not strings, as of PHP 5.2. (We don't support pre-5.2
versions, and I've verified 5.6.99-hhvm behaves this way as well.)

Bug: T118032
Signed-off-by: Chad Horohoe <chadh@wikimedia.org>
Change-Id: I3f996e2eb87c7bd3b94ca9d3cc14a3e12f34f241

Make ApiStashEdit use statsd metrics

Change-Id: Iffdeae7f867490e3c69c4b6d79a5f844cb7fce23

Avoid negative JobRunner time stats

This can happen in sub-second cases with skew. It makes
graphana tend to see -1 as the min for some time values.

Change-Id: I4e39d8ac29f515fd76548f1a7b64d71a03064407

No-op the notify*/purge methods in JobQueueAggregatorRedis

This should be managed by the background service now

Change-Id: I5d905760b509f66e10019ff8a4146db8a6c4c9d7

Use hash_equals in User::matchEditToken

There is no point in using hash_equals for the return value if we
do a normal comparison before.

Bug: T119309
Signed-off-by: Chad Horohoe <chadh@wikimedia.org>
Change-Id: Ia44ec5ed492105b27d0fddd845d58d27a29dc072

Merge "mediawiki.action.view.redirect: Explicitly scroll to element in hash"

mediawiki.action.view.redirect: Explicitly scroll to element in hash

Specification of replaceState doesn't state whether the browser should scroll to the element
matching the fragment [1]. It only determines how to alter the history stack.
(The fact it doesn't impact UI is sometimes a desired behaviour [2)]

As a result force a scroll to the element. Harmless if element is already present.

[1] http://www.w3.org/TR/2011/WD-html5-20110113/history.html#the-history-interface
[2] http://lea.verou.me/2011/05/change-url-hash-without-page-jump/

Bug: T110501
Change-Id: I7440f7a6a6dd20d984da1834007d581324fb96f4

mw.MessagePoster: Fix creation of mw.Api() object

Follows up 59fca1594c3183.

Change-Id: If37b151a11a5d21332d8fa14ee85a254e7e0bf04

Merge "Fix PPNode_Hash_Tree::getChildrenOfType return value"

Merge "Expand MediaWiki::main() $wgTrxProfilerLimits logging"

Fix PPNode_Hash_Tree::getChildrenOfType return value

PPNode defines it as returning an array-type PPNode, not an array.

Change-Id: I9a6c5cea408aae449bfbf808d067837c4337c672

Merge "Revert "Don't check namespace in SpecialWantedtemplates""

Localisation updates from https://translatewiki.net.

Change-Id: I8b05cc6d002aab5167d7b92656f5b305cce082e7

Merge "Merge namespace aliases like we merge namespace names"

RefreshLinksJob: Restore LinksUpdate::setTriggeringUser() call

This partially reverts 22476baa85bdb70c60, as the setTriggeringUser()
call that was removed was being used by Echo to be able to determine
which user caused a LinksUpdate to be triggered.

Bug: T121780
Change-Id: I62732032a6b74f17b5ae6a2497fa519f9ff38d4f

Fix $namespaceAliases error from 2011

Ref: https://phabricator.wikimedia.org/rMW0a27d489e81de2d62165844987d0901a44e2ac21#5ae2ccb1
Bug: T120702
Change-Id: I02906f36ea90233e8e793fd3225c130e7144d521

Use "system administrator" when server access was needed

Bug: T103884
Change-Id: Id8b540c0a5485072c855388bf1e20b7e7e97f451

Merge "Add release notes for 4e0762c7 and 827d8dc0"

Merge "mediawiki.page.watch: Remove obsolete CSS selectors"

Add release notes for 4e0762c7 and 827d8dc0

Change-Id: Iaa1be8b3f5191edd45e3b0fb7ef1d96951848f7b

Merge "Show change tags on Special:RevisionDelete"

Add $revision to TitleMoveCompleting for completeness

Follow up to 9cc2f62bf5ae.

Change-Id: Ibb48f6673b9be1863563262fff8bedc5aed7926c

mediawiki.page.watch: Remove obsolete CSS selectors

Change-Id: I4f80f1e6df5d77d9ad0ab2cc661c9bb5989c9aef

Merge "Pass created revision to TitleMoveComplete hook"

Merge "Add tag parameter to API action=rollback"

Pass created revision to TitleMoveComplete hook

The EventBus extension needs to forward the created (null) revision ID as
part of the page move event.  Looking this value up when the hook fires is
problematic, because without a connection to the master DB the query might
very well return nothing (if it races in before the entry is replicated to
the slave).

This changeset passes the newly created Revision on to the hook so that it
doesn't need to be queried separately.

Bug: T116786
Change-Id: I1b48e2904fc8d99f2cde604f274f79a2b47d7fc2

Expand MediaWiki::main() $wgTrxProfilerLimits logging

Remove the filter for basic GET actions.

Change-Id: Iba2b233474321f3d097bf9dfcf90b0feec0312b6

Localisation updates from https://translatewiki.net.

Change-Id: Ib9ea04900aa2a765917e16f4b03a9446e82febf8

Merge "Move ArticleSaveComplete hook to doCreate()/doModify() methods"

Merge "Installer: Link 4.0 family of CC licenses"

Merge "$wgUsersNotifiedOnAllChanges should not send mail twice"

Installer: Link 4.0 family of CC licenses

Bug: T96077
Change-Id: I86efa1dae64967d36f3a1afa79bf3637f43297dd

Merge "Avoid "Incorrect user-level lock name " errors in Database lock() method"

Merge "Simplify Language::getFallbackFor"

Avoid "Incorrect user-level lock name " errors in Database lock() method

Use a sha1 hash if the lock name exceeds the MySQL limit. The class
for Postgres already avoids this problem with number hashes.

Change-Id: If587c672b4ff210ee3b512bbe2910ae247079d3f

Add tag parameter to API action=rollback

Added code to allow tag change in ApiRollback.php

Bug: T111948
Change-Id: Ic8dcefe569f169041c9e0078a49af4ee87d2bbd6

Simplify Language::getFallbackFor

This avoids a redundant check of the language code.

Change-Id: Ifbe23b80a9d8fd5c3aa06f6656dbf2699a318003

SpecialWatchlist: Unbold title when it's clicked

Bug: T40908
Change-Id: I0c93f2dfefeae902a069c72bfa3c1ec7807ed57a

Remove unused ApiStashEdit variable

Change-Id: Ifd85dd6b96e80d7c1163566153e8d746b27754d8

Remove obsolete `background-size` vendor prefix

Removing outdated `-o-` vendor prefix for some esoteric versions of
Opera, for example on Nintendo DS and adding "Deprecated" notice.
Also changing "Less" to new diction - no uppercase any more.

Bug: T121473
Change-Id: I0be3b94979f718dc6fbfac785e951a2cb9564eb4

Don't trigger 'wikipage.diff' hook for content that looks like a diff

Follows-up 9cfb9cb9fba, and b62f0e91564.

Add data-mw="interface" to elements created by the interface
(e.g. not user-generated content) and use this to narrow down
scope of elements eligible for JavaScript binding.

This avoids bugs where e.g. the diff hook triggers on a wiki page about diffs.
This isn't a security issue per-se, but causing odd behaviour.

Also add missing tests for data-ooui filtering (follows-up aa9a52da).

Change-Id: I9a0c86c92d411538bd9e203ec6ae54616fdf49b8

Update mediawiki_selenium Ruby gem from 1.2.1 to 1.6.3

Bring in User factory and support for IE/Android among other
things.

Bug: T114241
Change-Id: Ie0b0eb924e010533f34408b2fe3eef5b926b1cd9

Merge "Make edit stashing use named DB locks"

Localisation updates from https://translatewiki.net.

Change-Id: I3eb6a66e400cbc42e040d9d6aac7d465f6c346c7

Make edit stashing use named DB locks

These should be faster by avoiding the inefficient back-off
polling in BagOStuff::lock().

Change-Id: I013b2567716eea5e354e13f3e9640573886e596a

Show change tags on Special:RevisionDelete

RevDelRevisionItem.php has been modifed to display tags and
RevDelREvisionList.php has been modifed to request tag data
its database query.

Bug: T109041
Change-Id: Icaae790b7d21a6670c692d11e25c6db7b7325530

Remove OutputPage::loginToUse(): deprecated since 1.19 & unused

* https://github.com/search?utf8=%E2%9C%93&q=%40wikimedia+logintouse&type=Code&ref=searchresults

Change-Id: I5bdef4b518cd66a2b195aeb443e66136a06f816a

Remove OutputPage::appendSubtitle(); deprecated since 1.19 & unused

* https://github.com/search?q=%40wikimedia+appendSubtitle&type=Code&utf8=%E2%9C%93

Change-Id: Ic09479cf04f00cf1f8764efe747edacd6aa2140d

Merge "ApiLogin: Deprecate certain response values"

ApiLogin: Deprecate certain response values

It's been a while since clients could reliably construct the cookie
values from these parameters, and it's only going to get worse. So let's
just kill them; the first step is to mark them as deprecated.

Bug: T121527
Change-Id: I6a1a0c7e253e4c651bc0149e956f8767ee6e8b80

Tweak wording for 'contentmodelediterror'

The message didn't really explain why this is an error, and it's easy
to miss the difference between "revision content model" and "page
content model".

Change-Id: I424ff972469ada9835dd08466724df63cf8971bf

mw.ForeignStructuredUpload.BookletLayout: Remove unnecessary @embed annotations

The .background-image-svg() mixin ensures the right embedding already.

Change-Id: I0ec10ed72025669e6dbf5aec055353daa23e5d68

Merge "mw.ForeignStructuredUpload.BookletLayout: Option 4: Add RTL images"

mw.ForeignStructuredUpload.BookletLayout: Option 4: Add RTL images

Change-Id: I06c207aa89b85cfa5994fa9be8fa6bc623d739d7

Merge "mediawiki.Upload.BookletLayout: If the user can't upload, don't show them the form"

Merge "mediawiki.api.user: New module, factored out of mediawiki.user"

mediawiki.Upload.BookletLayout: If the user can't upload, don't show them the form

Second attempt. First, reverted one: I6f68122b5399f4b8766825c752e964478ae7563d.

To improve in the future:
* Use a better error message when not all logged-in users can upload

Bug: T115866
Change-Id: I1ac083fd491c7445240b4fd9f7b3badacb2d2d37

mediawiki.api.user: New module, factored out of mediawiki.user

The convenient getUserInfo() function can now be used with mw.ForeignApi.

Bug: T117868
Change-Id: Ic0b5fe3812723bf51a5cf6600437c480dc5abb8f

mw.ForeignStructuredUpload: Add '{{Uncategorized}}' template if no categories given

This is not configurable at the moment. It probably should be, but
that can be done later.

Bug: T121268
Change-Id: I8de33a69979eff5dba13f82959011c44a92339e1

Merge "mw.ForeignStructuredUpload.BookletLayout: Option 2: Image improvements"

Merge "mw.ForeignStructuredUpload.BookletLayout: Option 4: Image improvements"

mw.ForeignStructuredUpload.BookletLayout: Option 2: Image improvements

Correctly aligned PNGs. Added SVGs.

Alternating the position of the icons was distracting. Moved all to
the right.

Change-Id: Ic14da2c6408ab15416dab1ebd1397507d0950b33

mw.ForeignStructuredUpload.BookletLayout: Option 4: Image improvements

Add higher quality PNGs. Also added SVGs, and now using the
.background-image-svg() mixing to use SVGs.

Change-Id: I8d8fbf8e58b4ef5d9956731c8b85d5db07b3f5ed

Merge "mw.ForeignStructuredUpload.BookletLayout: A/B test of 4 different interfaces"

Merge "Follow-up 23cfe1bba: harmonize image embedding CSS"

Merge namespace aliases like we merge namespace names

To avoid problems like T60074 and deal with requests like T101634.

Bug: T108427
Change-Id: I3ef6bbcc820a254b44ba86bfccb3854983a19ff6

Merge "Avoid "CAS updated failed" errors on Special:Preferences double post"

Merge "Remove redundant 'type' attributes from style and script tags"

Avoid "CAS updated failed" errors on Special:Preferences double post

* This does the same thing ApiOptions does to avoid these errors.
  A new getInstanceForUpdate() method is now in the User class to
  simplify this pattern.
* Avoid overriding $user in ApiOptions for code readability.
* Fixed IDEA errors around Preferences::getFormObject() return type.

Bug: T95839
Change-Id: If2385b7486c043bd70d7031ff35e37dfb079a4d2

Document mw.user.options and mw.user.tokens properties

Change-Id: If1e4ba0bda0147d9f00f74c823f56ac8b886fc19

mw.ForeignStructuredUpload.BookletLayout: A/B test of 4 different interfaces

It turns out that people click the checkbox affirming that they are
they author of the file and that they release it under CC BY-SA even
when neither of those is true. So we're trying some interfaces that
require a modicum of thought rather than just a click on "I agree".

  Option 1: The form we have right now, with a single checkbox.

  Option 2: Four checkboxes, each with a label explaining one facet of
    the requirements (own work; no pictures of copyrighted work;
    educational/useful; irrevocably released as CC BY-SA).

  Option 3: Some Yes/No questions structured so that 'Yes' is not
    always the right answer to continue uploading.

  Option 4: Longer introduction before a single checkbox (as in option
    1), with examples of good and unacceptable content.

As only logged in users are able to upload files, we're able to bucket
them into four groups by user ID number. When the user completes a
file upload, the bucket number is saved server-side in a change tag by
the companion patch I90cb12c505b2581f36113ec6b4f7bf732f0971b7 (we could
match the user IDs cross-wiki by username, but that sounds painful).

For testing and debugging, add '?uploadbucket=N' to the URL to force
given interface option to appear. Any completed upload won't count
towards the bucket.

Note that for expediency, the tested options all assume uploads to
'shared' repository (that is, Wikimedia Commons). The winner's
messages will be tweaked to work with 'local' and other targets too.

This patch DOES NOT ENABLE THE TEST yet, it just implements the options.
Enabling it on specific wikis can be done via config:
* $wgForeignUploadTestEnabled = true/false (defaults to 'false')
  Whether the test is running.
* $wgForeignUploadTestDefault = 1/2/3/4 (defaults to '1')
  Interface to use when the test is not running (and for anons).

Bug: T120867
Bug: T121021
Change-Id: I557056b867c6a55ef2c9af321eb48893312632a3

Follow-up 23cfe1bba: harmonize image embedding CSS

23cfe1bba changed ResourceLoaderImageModule::getCssDeclarations(),
but contrary to the documentation did not synchronize it with
mediawiki.mixins.less. This commit does that.

This commit brings the -o-linear-gradient rule back (this time with
a comment that explains why it's there), and removes the
-webkit-linear-gradient rules from mediawiki.mixins.less
and CSS code that copypasted it.

Change-Id: Ia7e9738d90919248748e6968192bf02e420cddd0

Merge "Add release notes for removed function and class"

Localisation updates from https://translatewiki.net.

Change-Id: I00c9fee4c2b38f8e4cee9ee40343615cfdc772c1