auth: Properly finalize PKCS11 modules before releasing them

This gets rid of two leaks reported by LeakSanitizer when running our
unit tests:
```
Direct leak of 48 byte(s) in 1 object(s) allocated from:
    #0 0x5fe6c6e7d099 in malloc (/pdns/pdns/testrunner+0x220099) (BuildId: 08d4c369b5f2f19f183aa5d6ab931a6653b70ab9)
    #1 0x7e6cdc6a0964  (/usr/lib/libp11-kit.so.0+0x36964) (BuildId: 307da6c0b5c7d87a1b0fd0a63e0bda93c9375e8a)
    Indirect leak of 72 byte(s) in 1 object(s) allocated from:
    #0 0x5fe6c6e7d401 in calloc (/pdns/pdns/testrunner+0x220401) (BuildId: 08d4c369b5f2f19f183aa5d6ab931a6653b70ab9)
    #1 0x7e6cdc6a09b6  (/usr/lib/libp11-kit.so.0+0x369b6) (BuildId: 307da6c0b5c7d87a1b0fd0a63e0bda93c9375e8a)
```

Merge pull request #14001 from rgacogne/ddist-ffi-policy-no-server

dnsdist: Support "no server available" result from Lua FFI LB policies

dnsdist: Delint test-dnsdistlbpolicies_cc.cc

dnsdist: Fix clang-tidy warnings

Merge pull request #13922 from rgacogne/ddist-cachemiss-rule-chain

dnsdist: Add a new query rules chain triggered after a cache miss

Merge pull request #14005 from rgacogne/ddist-tcp-incoming-release

dnsdist: Release incoming TCP connection right away on backend failure

Merge pull request #14003 from rgacogne/ddist-fix-in-doh-crash

dnsdist: Fix a null-deref in incoming DoH w/ nghttp2

Merge pull request #14004 from rgacogne/ddist-tcp-downstream-release

dnsdist: Release failed TCP backend connections more quickly

dnsdist: Clarify how to return 'no server available' from the FFI policies

dnsdist: Add regression tests for the new cache-miss rules chain

dnsdist: Add a new query rules chain triggered after a cache miss

This new chain of rules allows postponing the decision of what to
do with the query to after a cache-lookup has been done. This is
particularly useful when dealing with abuse: we might want to allow
cache hits to be processed normally since they are cheap while dropping/
refusing/routing to a different pool queries that result in a cache
miss.

dnsdist: Release failed TCP backend connections more quickly

After a timeout we cannot reuse the TCP connection to the backend
anyway, so let's release it immediately.

dnsdist: Release incoming TCP connection right away on backend failure

We used to keep a shared pointer to the incoming TCP connection around
in `TCPConnectionToBackend::d_currentQuery.d_sender` even after all queries
sent to the backend failed, which prevented the incoming TCP connection
from being closed as soon as it should have.

dnsdist: Fix a null-deref in incoming DoH w/ nghttp2

When an incoming DoH connection using the `nghttp2` provider is waiting
for a response from a backend that results in a I/O error or timeout,
and the incoming connection also fails due to a I/O error or timeout,
dnsdist could in some cases try to dereference a null pointer, leading
to a crash.

dnsdist: Support "no server available" result from Lua FFI LB policies

Merge pull request #13923 from rgacogne/ddist-xfr-response-chain

dnsdist: Add a new response chain for XFR responses

Merge pull request #13999 from rgacogne/ddist-inc-http1-counter-alpn

dnsdist: Fix DNS over HTTP connections/queries counters with `nghttp2`

Merge pull request #13998 from romeroalx/fix-dockerfile-rpmsbom

Dockerfile.rpmsbom:  fix grep syntax for authoritative on rhel>7

dnsdist: Fix formatting in dnsdist-nghttp2-in.cc

dnsdist: Add a regression test for DoH connection counters

dnsdist: Properly increase the HTTP connections counter w/ nghttp2

dnsdist: Remove commented out include directive

dnsdist: Increase the HTTP/1.1 query counter when DoH with 1.1 ALPN

This way we can keep track of how many HTTP/1.1 connections attempt
we see. We will not actually process the DNS over HTTP/1.1 payload
anyway when the `nghttp2` provider is used.

fix grep syntax Dockerfile.rpmsbom

Merge pull request #13983 from rgacogne/generate-sbom

Generate Software Bill Of Materials (SBOMs) for our RPM packages

Merge pull request #13969 from omoerbeek/rec-nod-threads

rec: use shared NOD (and/or UDR) DB, to avoid multiple copies in memory and on disk

Explain the d_cachedir_mutex is only used for protecting init() calls

Merge pull request #13984 from rgacogne/rec-fix-nsec3s-count-closest-encloser

rec: Correctly count NSEC3s considered when chasing the closest encloser

Merge pull request #13985 from omoerbeek/rec-system-res-fixup

rec: fixup res-system-resolve.cc on FreeBSD: resolve.h needs netinet/in.h

Merge pull request #13959 from fredmorcos/meson

Add Meson as a build system for auth

rec: fixup res-system-resolve.cc on FreeBSD: resolve.h needs netinet/in.h

Merge pull request #13982 from Habbie/resqueryunderscores

rec: also look for __res_query symbol

SBOM: Dynamically generate the list of auth-related packages

rec: Correctly count NSEC3s considered when chasing the closest encloser

We need to count the number of NSEC3s that are present in the response,
not the number of times we have to consider possible NSEC3s when
looking for the NSEC3 closest encloser, label by label.

rec: also look for __res_query symbol

SBOM: Fix the builder target variable

Fix syntax errors

Disable SBOM generation on el-7 (almost EOL), fix it on el-8

Hopefully fix SBOM generation

Attempt to generate SBOMs after building packages

Merge pull request #13921 from omoerbeek/rec-system-resolve

Rec: add feature to allow names (resolved by system resolver) in forwarding config

Merge pull request #12849 from PowerDNS/dependabot/pip/regression-tests.api/requests-2.31.0

build(deps): bump requests from 2.20.0 to 2.31.0 in /regression-tests.api

Merge pull request #13981 from rgacogne/fix-rec-builds

Fix recursor packages builds

Fix recursor builds: fix invalid path for builder-support/helpers

Fix recursor builds: we now require `jq` during the `dist` phase

build(deps): bump requests in /regression-tests.api

Bumps [requests](https://github.com/psf/requests) from 2.20.0 to 2.31.0.
- [Release notes](https://github.com/psf/requests/releases)
- [Changelog](https://github.com/psf/requests/blob/main/HISTORY.md)
- [Commits](https://github.com/psf/requests/compare/v2.20.0...v2.31.0)

---
updated-dependencies:
- dependency-name: requests
  dependency-type: direct:production
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #10933 from swegener/64-bit-time-support

m4: Enable 64-bit time_t on 32-bit systems with glibc-2.34

Use FDWrapper, modify its reset() to return the close() return value

Merge pull request #13972 from rgacogne/external-libs-to-json

Move the version (and hashes) of external dependencies to JSON files

Update pdns/recursordist/settings/docs-new-preamble-in.rst

Co-authored-by: Remi Gacogne <github@coredump.fr>

Comment fixes, some of them only made sense for the non-shared setup

Merge pull request #13844 from omoerbeek/rec-sl-only

rec: remove the possiblility to disable structured logging

Make resolve check interval and self-resolve check settable

Merge pull request #13770 from Assumeru/require-tsig

auth: Add setting to make TSIG required for DNS updates

Remove changes var and releted method, they are unused

Apply suggestions from code review

Co-authored-by: Fred Morcos <fm@fredmorcos.com>
Co-authored-by: Remi Gacogne <github@coredump.fr>

more clang-tidy

Merge pull request #13979 from omoerbeek/rec-netmask-docs

rec: fix netmask docs wrt deprecatd isIpX() functions

Add license, publisher information to the external deps data

Meson: Remove unit-tests-verbose and favor meson test --verbose

Meson: Fix passing thread dependency on platforms that need it

e.g. FreeBSD needs -lpthread

rec: fix netmask docs wrt deprecatd isIpX() functions

Fixes #13978

clang-tidy: more descriptive variable name

process review comments; move toTimestampStringMilli() to Logging namespace

Merge pull request #12769 from neilcook/patch-1

Update Dynamic DNS Update Docs with GSS-TSIG

remove unused branch in SLOG macro (ifdef RECURSOR)

rec: remove the possiblility to disable structured logging

Sort result vector of getaddrinfo

Apply suggestions from code review: typos in comments

Co-authored-by: Fred Morcos <fm@fredmorcos.com>

Add test to also test changing forwarder. Needs ENABLE_SUDO_TESTS

Todo: modify tasks.py to add ENABLE_SUDO_TESTS to test run, like dnsdist does

Simple test of named forward, a bit ugly as it depends on external servers

Comments & docs

Avoid race setting serverID

Enable explicitly only

Search -lresolv (if applicable) the proper auto* way

selfresolve check wip

rec: facility to resolve names via system resolver

Move the version (and hashes) of external dependencies to JSON files

Merge pull request #13975 from omoerbeek/more-if-vs-ifdef-have

Fix the remaining cases of #if vs #ifdef HAVE_XYZ

Merge pull request #12989 from Habbie/stderr

auth, rec: update option text and docs to clarify logging is to stderr, not stdout

Merge pull request #13914 from rgacogne/ddist-fix-xsk-error

dnsdist: Fix XSK-enabled check when reconnecting a backend

Fix the remaining cases of #if vs #ifdef HAVE_XYZ

Merge pull request #13971 from omoerbeek/check-have-with-ifdef

Always check HAVE_XYZ flags with #ifdef

Merge pull request #13973 from jsoref/clarify-job-description

Clarify workflow name

Merge pull request #13548 from PowerDNS/dependabot/pip/docs/urllib3-2.0.7

build(deps): bump urllib3 from 2.0.3 to 2.0.7 in /docs

Clarify workflow name

The workflow performs two very unrelated tasks:
* Verify source code formatting
* Check Makefile.am sort order

auth, rec: update option text and docs to clarify logging is to stderr, not stdout

accept the complexity of this function for now

Merge pull request #13970 from jsoref/build-tags-permissions

Allow build-tags to run on forks

Always check HAVE_XYZ flags with #ifdef

Meson uses #define HAVE_FEATURE (without 1), so it matters there

Allow build-tags to run on forks

build-tags uses: PowerDNS/pdns/.github/workflows/build-packages.yml@master
As of f107ec62467b8779db9bbdb175721ef232ed52e5, that workflow requires:

    permissions:
      actions: read   # To read the workflow path.
      id-token: write # To sign the provenance.
      contents: write # To be able to upload assets as release artifacts

Per https://docs.github.com/en/actions/using-workflows/reusing-workflows
in order for this to work, the calling job (in build-tags) needs to
have the maximum required permissions in order for the calling workflow
to be run.

Revert "Meson: Fix missing dependency for auth testrunner"

This reverts commit 11d125e5cdc5515beeef370e594562f4028bb8b4.

Merge pull request #13968 from PowerDNS/dependabot/github_actions/slsa-framework/slsa-github-generator-1.10.0

build(deps): bump slsa-framework/slsa-github-generator from 1.9.0 to 1.10.0

Meson: Fix missing dependency for auth testrunner

Meson: Fix ssqlite3 build on MacOS

Meson: Silence sign compare warnings for bindlexer and bindparser

Merge pull request #13964 from rgacogne/ddist-document-cache-hits-ring-buffer

dnsdist: Document that cache hits go into the ring buffer since 1.8.0

Make snapshot write interval settable

Merge pull request #13966 from dwfreed/patch-1

rec-main: let NetmaskGroup parse dont-throttle-netmasks

Merge pull request #13840 from Habbie/daily-auth-4.9

add auth-4.9.x and dnsdist-1.9.x to daily build test