Simplify default password policy

* Remove PasswordNotInLargeBlacklist => false, it's a no-op
* Deduplicate PasswordCannotMatchUsername
* Remove PasswordCannotBePopular. There is no point in using both
  PasswordCannotBePopular (top 10K passwords from SecLists) and
  PasswordNotInLargeBlacklist (top 100K passwords from SecLists),
  and the CDB lookup is probably not that cheap.

Change-Id: I868846931988b88f06800e42861e82e2bb0bc427

Correct $magicWords for sa.wiki

Bug: T102320
Change-Id: I4ef78dc7a41916a9af6aa259de455e3948662913

Localisation updates from https://translatewiki.net.

Change-Id: If00b12af3d4346114260c9e4312bcab489e9a622

Fix comments in language class tests

* Add `@covers LanguageGa`.
* Language code `bs` is for "Bosnian (bosanski)" and not for "Croatian
  (hrvatski)".

Change-Id: I605bdd254518dd708343e36a2dee65dd0aa17b63

Fix typo "maintainance"

Bug: T201491
Change-Id: I8724206404a461eaace3b60f91c7704bd6581ee2

Merge "Update OOUI to v0.30.0"

Merge "Add 'suppressrevision' right to new 'oversight' grant"

Add 'suppressrevision' right to new 'oversight' grant

Change-Id: Ic7eeff94ea533670c85c9e82801f38fded9e7a30

Update OOUI to v0.30.0

Release notes:
 https://phabricator.wikimedia.org/diffusion/GOJU/browse/master/History.md;v0.30.0

Bug: T150071
Bug: T150781
Bug: T183271
Bug: T190581
Bug: T196208
Bug: T208644
Bug: T208821
Bug: T210039
Bug: T210914
Bug: T211154
Bug: T211223
Bug: T212064
Bug: T212068
Bug: T212159
Bug: T212186
Bug: T212299
Bug: T212389
Depends-On: I00d3fa932de968019c6ad676237ed5e5077fb961
Change-Id: I00d3fa932de968019c6ad676237ed5e5077fb962

eval.php: write error messages to stderr

Error messages should go to stderr not stdout.

Bug: T121597
Change-Id: Ibde26059982d1e621a104694343682a2032ac844

Merge "XmlSelect: Fix PHPDoc param comments for addOption() & formatOptions()"

XmlSelect: Fix PHPDoc param comments for addOption() & formatOptions()

Change-Id: I60f1bd78b3820510f9fbc497e1c703f9da7fd900

Merge "Mark protected IndexPager properties also as protected in subclasses"

Merge "Avoid expensive array_shift where possible"

Merge "Revision: Assert that $mRecord is never null in Revision"

Merge "Linker: Deprecate non-Language types for $lang of tocList() and generateTOC()"

Revision: Assert that $mRecord is never null in Revision

Bug: T187153
Change-Id: I828954855aa24114ec756e45d4dfe1468b2efa27

Merge "objectcache: add expiration check callback to WANObjectCache::getWithSetCallback"

Merge "rdbms: add trace to getLagFromPtHeartbeat() log entries"

Merge "Make thumbnail image decoding async"

Mark private properties in ContribsPager as "private"

There should not be any code accessing these. The way to set these
properties is via the constructor.

Change-Id: I8f2a8e88b8dfad53d0b16bc3f73974b894a031fb

objectcache: add expiration check callback to WANObjectCache::getWithSetCallback

This is useful when the timestamps to be checked depend on the value or are stored
in the database rather than as check keys.

Change-Id: I81ab08a943ee7d2f96a132d371965501941ed37f

Remove redundant property declarations

These are already declared and initialized in the base class. No need
to repeat this.

Change-Id: I4f83202cc9076bd68fa25490bdf8b4a2913b6b04

Add missing, dynamically declared properties in ContribsPager

These are all set in the constructor, and don't need a default because
of this.

I'm also adding documentation for the class properties in this class as
good as I can (type, possible values, meaning, and behavior).

Change-Id: Ic2367ca7e8d8b2b7ae4f80ad04081a0db2821de5

rdbms: add trace to getLagFromPtHeartbeat() log entries

Change-Id: I677610c711443b787f7cea1be2dd9f01486b1324

Linker: Deprecate non-Language types for $lang of tocList() and generateTOC()

$lang still defaults to $wgLang on unset parameter.

Change-Id: I15b65fec987641885374dfef9e1229ea405f7c30

Merge "Deprecate User::getPasswordValidity()"

Deprecate User::getPasswordValidity()

Unused, the return format does not seem useful.

Also improve the documentation of $wgPasswordPolicy
and PasswordPolicyChecks.

Change-Id: Ic01e80cfefc4cfb0eee1eccc6a66942f692278a0

Add warning if you give Html::openElement a name with a space

Bug: T201747
Change-Id: I7772f1e8c0c12bdf1fd60d62e015f2ec82d8ac90

EmailNotification should provide a getter for pageStatus

Extensions that have hooks for
UpdateUserMailerFormattedPageStatus (to provide additional
pageStatus indicators) need a way to make sure that, when their
hook is called in SendWatchlistemailNotification, they only
notifications handling their pageStatus indicator.  This allows them
to fetch the protected property.

Bug: T175104
Change-Id: I2beb5b3576f2cd739dab16b9adf613c96636edd3

registration: Add release notes for platform requirements

This adds release notes for I510de1e6d80 and I6744cc0be2.

Bug: T197535
Change-Id: I563012dd7f398c4892ec8a4ecab6144bc589d441

Merge "localisation: Make PHP cache files slimmer"

localisation: Make PHP cache files slimmer

The only difference is the scalar values are no longer encoded as an
array, but just the value itself. As a result, PHP localisation cache
files are about 2/3rds of their previous size and become slightly
smaller than CDB files.

Bug: T99740
Change-Id: Iaa5e32830dc1bb710b9e0f1a681afe91e521ece9

Localisation updates from https://translatewiki.net.

Change-Id: I6c5f1888a144fff4fd129244c43441535a47fd79

Merge "Fix order on Special:Contributions when timestamps are identical"

Merge "Fix the cache timestamp for forced updates."

Mark protected IndexPager properties also as protected in subclasses

I'm intentionally only touching these protected properties and nothing
else, because I believe these are uncontroversial. They should be protected
according to modern SOLID standards, and actually are declared as
protected in the base class. What this patch effectively does is documenting
this fact, but it does not change anything.

Change-Id: I625307b58bd419c4a72e9842b2b46c08ed9b4f8e

Fix order on Special:Contributions when timestamps are identical

Please see T200259#4827781 for a longer explanation why this is needed.

Bug: T200259
Change-Id: I1678f7ec994328a96eed208483421be2f82be0ce

Merge "Include block ID in unblock log"

ApiDelete: Handle batched deletions properly

When batched deletions via the job queue were added in Ie800fb5a, the
way this was reported caused ApiDelete to report an error. Instead it
should report success with appropriate signaling to the client.

Bug: T212356
Change-Id: I1ef66277e988572c6720cf3e3cb36b18530746b4

Make thumbnail image decoding async

This is a browser hint indicating that decoding of the image can be done
asynchronously (instead of synchronously during the image's onload event).
Marking decoding as async enables the browser to display any other
non-image content that might be waiting to be rendered, without waiting
for the image to be decoding. This should allow text to appear sooner in
some situations, where the browser would have otherwise waited to
bundle its rendering with an image. The final result (non-image + image
content being displayed) will happen at the same time as before.

Given how text-heavy wiki context usually is, it makes sense to allow
users to see the text sooner in some situations, so they can start reading.

https://developer.mozilla.org/en-US/docs/Web/API/HTMLImageElement/decoding
https://html.spec.whatwg.org/multipage/images.html#decoding-images

Bug: T212124
Change-Id: I3d738eba016bad486194f032a47ac6312f61c34e

Merge "Add editing own JSON to editmyoptions grant"

Localisation updates from https://translatewiki.net.

Change-Id: I30701a3722177d2ded82027426fb8984dc7c8f67

Merge "API: Add User-Agent to CORS allow list"

Merge "ApiBlock: Avoid PHP warning when partial blocks are enabled but not used"

API: Add User-Agent to CORS allow list

An updated spec[1] removed the User-Agent header from the list of forbidden
headers for XHR, so some clients are now requesting to use it.

[1] https://github.com/whatwg/fetch/commit/dab09b0c483

Change-Id: I43d42c3c3a6510721ff7e5fc406db797bf08ffae

Fix the cache timestamp for forced updates.

Without this patch, the forcelinksupdate parameter of ApiPurge
was inoperational, caused by the fact that RefreshLinksJob got
the original revision's timestamp in the rootJobTimestamp parameter,
instead of the time at which the new ParserOutput was created.

See <https://phabricator.wikimedia.org/T210307#4771586> for details.

Bug: T210307
Change-Id: I281d6d0ed112b35e160775e528d363ce4770990a

Merge "Use MediaWiki\SuppressWarnings around trigger_error('') instead @"

Merge "Include bot password app ID in audit data"

ApiBlock: Avoid PHP warning when partial blocks are enabled but not used

If partial blocks are available but a sitewide block is being made,
$params['pagerestrictions'] is null and implode() raises a warning.
Since null casts to the empty array, it's easy enough to work around.

Also add a test hitting this case.

Change-Id: Id7e2559d7569031b7c1228adb0c0a14b3c1527c3

Merge "Fix regular expression"

Clean ups of dropping tag_summary table

Change-Id: I92dc906d0dfd870e6b77671e5d7cfd3f56090325

Include block ID in unblock log

Also change block log to only include the ID of the block.
Including autoblock IDs just makes analysis harder, and it is not
useful when searching for autoblocks since those created when a
blocked user tries to edit are not logged this way.

Bug: T210476
Change-Id: Iff1697be416abbb807227d0629cf41346bd379c2

Merge "travis: Add PHP 7.3 (allowed failure)"

Merge "Special:AllMessages: Improve zebra striping on hover"

Localisation updates from https://translatewiki.net.

Change-Id: Idfb2f9b39fe0eacd31663f9c769be3e88c46353e

Drop tag_summary and valid_tag tables

Bug: T209525
Change-Id: I153607239145a772f5ea47eefd3340096a494b4b

ChangesList separates content elements from presentation

Special:RecentChanges and Special:Watchlist benefit from this change

Bug: T205581
Change-Id: If46d9ed904fdc6f01decbfde12ade0c47e282171

Fix copy-paste error

It's actually adding the column on the wrong table

Change-Id: I2fd8ea50f3eb4b5da04fce2ea0348a2dc6329965

Option to load restrictions from DB_MASTER

Adds a $readLatest parameter to Title::loadRestrictions that skips
the replica DBs and goes straight to the master DB to get the latest.

TODO: should I add $readLatest to all the getRestrictions* functions?

Bug: T210983
Change-Id: I834de033fb79870de7d081701693663fb6ee93d3

Merge "HTMLForm OOUI Flatlist: Reduce `margin` slightly"

Merge "MagicWordFactory: Follow-up on I5d2166f155e31900cb40c"

MagicWordFactory: Follow-up on I5d2166f155e31900cb40c

Applied comments from I5d2166f155e31900cb40c to improve on
the unit test. makeMagicWordFactory() makes passing "null"
optional (which is default, hence some cleanup for calls).

Change-Id: Ib9a096c519f0de7286aa244bf3bb842cc11740f9

Merge "ApiComparePages: Don't error with no prev/next rev"

Merge "tests: Add PHPUnit tests for methods in MagicWordFactory::class"

tests: Add PHPUnit tests for methods in MagicWordFactory::class

* testGetContentLanguage() - covers the getContentLanguage() method.
* testGet() - covers the get() method in the MagicWordFactory class.
* testGetVariableIDs() - covers the getVariableIDs method.
* testGetSubstIDs() - covers the getSubstIDs() method.
* testGetCacheTTL() - covers the getCacheTTL() method. This covers
  both paths when there is a valid and an invalid caching hint.
* makeMagicWordFactory() - a helper function for creating an object
  of the MagicWordFactory class.
* testGetDoubleUnderscoreArray() - covers getDoubleUnderscoreArray()
  method and also calls newArray() under the hood so that is also
  covered.

Change-Id: I5d2166f155e31900cb40c22fb976e81d0d545627

HTMLForm OOUI Flatlist: Reduce `margin` slightly

When provided without label, flatlists are in general modificators
logically connected to the input above as seen on Special:BlockList
for example. Reducing the `margin` slightly helps to visually
emphasize the connection.

Bug: T177683
Change-Id: Ice666e54e440f97d177580ac258dfbed1577da0a

Upgrade wikimedia/ip-set to 2.0.0

Bug: T209756
Depends-On: I21a6032defb15b77519631b251b5e577207902a8
Change-Id: I424cf8871daf1e19b9d03511ace5f09d77746145

travis: Add PHP 7.3 (allowed failure)

Change-Id: I2205ae6b3543ec8fc094c043723c73ab1d1476b5

Merge "Message: Don't include Title objects in the serialization (part 2)"

Merge "ProfilerExcimer: allow early start"

Localisation updates from https://translatewiki.net.

Change-Id: I14d75d0d131a158d36055d612ab9139586258978

Merge "DateTimeInputWidget: Fix UI/UX glitches"

Merge "Follow-up I2266ec0: Mark new method as an internal"

Merge "Set default of sleep time in populateChangeTagDef to zero"

Set API limits for page restrictions to 10

Bug: T212142
Change-Id: Ide0f2f86df2101194155be53a4b9012ddefbbcaf

Merge "Fix sql.php --json behavior"

Merge "DateTimeInputWidget: Use 'clear' icon to clear input"

Merge "Stop updating tag_summary table"

Special:AllMessages: Improve zebra striping on hover

Previously, the full row (spanning two sub-rows) would not
get the hover effect when hovering over the second sub-row.

Inspired by <https://stackoverflow.com/a/15465002>.

Change-Id: Id698516da4fbe01f90cbe1499fb81721642a4dfd

Avoid expensive array_shift where possible

array_shift manipulates the original array. This is surprisingly
expensive, because it iterates *all* elements in the array and
decrements numeric keys. The code touched in this patch does not need
this restructured new array, but only the individual elements.

Change-Id: Iee28377b2c9930f6de821e041381a1d7564f7633

Merge "Special:AllMessages: Remove al_title and allmessages-customised classes"

Special:AllMessages: Remove al_title and allmessages-customised classes

* The al_title class was unused, and thus removed.

* The allmessages-customised class was used in CSS to target
  elements with 'al_default' and 'al_actual' classses within it,
  which are in turn only used for that purpose.
  Change the HTML to match the needs of the CSS by only setting
  al_default/al_actual classes on customised messages and remove
  need for the parent element class.

On a plain install this reduced output by ~2K from 75.8K to 74.0K,
and allocate 100 (2x50) fewer attribute nodes.

Change-Id: If2dd4cf5c937935f03f30b8410a32b6821b0bf34

Fix sql.php --json behavior

* return empty array when the query had no result (instead of
  falling back into non-JSON mode)
* return JSON for write queries as well
* retain legacy behavior in non-JSON mode for empty SELECTs, just in
  case somebody relied on it

Change-Id: Iaefbb443650a395278d1cc9ab6aa668b13b217c9

ProfilerExcimer: allow early start

Allow the profiler to be started elsewhere and passed into
ProfilerExcimer via the configuration array. This allows the profiler to
be started in the auto_prepend_file. XHProf doesn't need this because it
has a single global profiler.

Change-Id: I348499a15d9cc42de0ba1a20afc2283b794931a3

DateTimeInputWidget: Fix UI/UX glitches

- Limiting focus state of inputs to datetime handle boundaries
- Showing clear button only when there's value to be cleared
- Distance clear button from input
- Removing focus outline from day and timezone values

Bug: T212047
Change-Id: I9b815f38abeacacf921873529117c51c187d7fb9

Merge "Add ProfilerExcimer"

Localisation updates from https://translatewiki.net.

Change-Id: I005fa8d24c284741e5b139e1228b6a3251407a65

Set default of sleep time in populateChangeTagDef to zero

The script already has waitForReplication(), that's good for non-WMF setups

Bug: T206568
Change-Id: I020a4472796eeff2561da6c17a817091d4e9af5a

DateTimeInputWidget: Use 'clear' icon to clear input

Also removing unnecessary indicator overrides.

Bug: T212022
Change-Id: Ie962138811aff03d72ea29eb260131c37067456b

Fix exception on certain http failures

Task T202110 included a change to recognize an HTTP status code
of 0 (zero) as an error, but it failed to set a status message,
resulting in an exception.  Changed to set a status message of
'Error' so that required value is not empty.

Bug: T212005
Change-Id: I5fb78555bfcaeccdd726432f4dfc70924a385c41

Localisation updates from https://translatewiki.net.

Change-Id: I20f67d42ea1cd74c732c87a50d4db04e16a5abc5

Merge "PostgreSQL: Drop three unused columns"

Merge "Use SpecialPageFactory in ApiQueryQueryPage"

PostgreSQL: Drop three unused columns

The columns dropped in this commit are:

* category.cat_hidden
  (for MySQL, dropped in 1.20 / 0cbc85494d47cdeb)
* site_stats.ss_admins
  (for MySQL, dropped in 1.21 / bd602d20833f435f)
* recentchanges.rc_cur_time
  (for MySQL, dropped in 1.24 / 2b441eba406f2c49)

Bug: T64103
Change-Id: I7a7e9a2ac5066a9c9ab2583419d507e14fdd8c2c

Use SpecialPageFactory in ApiQueryQueryPage

Instead of assuming that all query page classes can be instantiated with
no constructor parameters, use a SpecialPageFactory.

This would not have prevented T208924 (that would just have resulted in
a later, different error), but it’s just a good idea in general.

Change-Id: I2473a53acd9fefdeffb1fa7ecb88873f3ee345cc

Merge "eslint: Turn on reportUnusedDisableDirectives"

Merge "Introduce TagMultiselectWidget.php"

Introduce TagMultiselectWidget.php

TitlesMultiselectWidget and UsersMultiselectWidget share
a lot of functionality, so implement a common base class.

This also adds some things to UsersMultiselectWidget:
* shows a pending element to users with JavaScript
* makes the input configurable

Change-Id: Ie6649b476c64e795254f457e3863fa7f14aa05ac

eslint: Turn on reportUnusedDisableDirectives

Change-Id: I3fb88324ba5a46e44041c13eb6447c8e33f4e79b