boot: Add startswith() and endswith() functions with no_case variants

Adapted from string-util

boot: Drop unnecessary braces

boot: Fix void pointer arithmetic warning

boot: Replace raw efivar gets with typed variants

boot: Add  efivar_get/set_uint64_le() functions

These are implemented as bit-shifting functions that allow reading
and writing UEFI variables stored as little endian 64-bit unsigned
values.

boot: Rename efivar_get/set_int() to efivar_get/set_uint_string()

Let's clearly indicate that these are used to set/get uints that
are stored as strings.

boot: Tighten scope of variables used in loops

boot: Add efivar_get_boolean_u8()

boot: Make all efivar util functions take the guid as an argument

Let's make these functions a little more generic so we can have
them work on more than one GUID. More specifically, this allows
using them with the global guid which will be used a bit more to
extend the secure boot support.

boot: Turn all guid constants into C99 compound initializers

Avoids having to use the address operator all the time and
avoids having to cast or do other unintuitive stuff.

boot: Enable C99

Instead of using -nostdinc, we use -nostdlib. This is necessary
to allow moving to C99 as efibind.h includes stdint.h when C99
is enabled. It isn't necessarily problematic to use some standard
library headers as long as they don't contain functions defined in
libc or another system library (or in other words, header only
headers are fine to use in sd-boot).

boot: Move Secure Boot logic to new file

hwdb: Add evdev for Huawei EUL-XW9

The device is very similar to MACH-WX9 in many ways, including this
particular one. Adding these rules gets rid of evdev warnings as buttons
are being pressed on this device.

network: drop one more link_dirty()

Follow-up for 9092113d93f61d67605f7c4a824b65a56b33fa59.

link_dirty() will be called later in this function when a DNS or domain
is dropped.

Merge pull request #18417 from DaanDeMeyer/sd-boot-no-include

sd-boot fixes

sd-boot: Add missing includes

Let's make all headers self-sufficient by including the necessary
EFI headers in the headers themselves.

sd-boot: Make internal functions static

tree-wide: Drop custom formatting for print() help messages

I think this formatting was originally used because it simplified
adding new options to the help messages. However, these days, most
tools their help message end with "\nSee the %s for details.\n" so
the final line almost never has to be edited which eliminates the
benefit of the custom formatting used for printf() help messages.
Let's make things more consistent and use the same formatting for
printf() help messages that we use everywhere else.

Prompted by https://github.com/systemd/systemd/pull/18355#discussion_r567241580

man: fix small issue in AllowedMemoryNodes description

It should not mention "CPU" but "NUMA nodes".

Merge pull request #18320 from yuwata/network-reduce-trigger-network-events

network: do not trigger unnecessary network events

man: make it clear how systemd calculate the DefaultTasksMax.

Actually, systemd takes the minimum of
* a) the maximum tasks value the kernel allows on this architecture
* b) the cgroups pids_max attribute for the system
* c) the kernel's configured maximum PID value
to calculate the DefaultTasksMax. Here, kernel.thread-max should also be methioned.

Merge pull request #18407 from keszybz/resolved-reference-counting-again

Use reference counting for DnsQueryCandidate

Merge pull request #18399 from keszybz/man-proofreading

Various man page cleanups

Merge pull request #18408 from poettering/import-fixlets3

5 more small fixes to importd

hwdb: check for the right set of MOUSE_WHEEL_CLICK_ properties

As documented at the top of the file we require the normal property if we have
the horizontal property, and we require the CLICK_ANGLE property if the
CLICK_COUNT property is present. Codify this into the hwdb parser so we can
pick up on it.

resolved: use reference counting for DnsQueryCandidate objects

Follow-up for 4ea8b443de. The logic that manages DnsQueryCandidate is rather
complicated: a calls to dns_query_complete() that wants to destroy a
DnsQueryCandidate can be nested inside a deep chain of calls. Using reference
counts seems like the simplest approach.

DnsSearchDomain already uses reference counting.

This patch effectively brings dns_query_candidate_go() to the state before
4ea8b443de, but wraps the iteration over DnsQueryCandidate.transactions in
dns_query_candidate_ref+dns_query_candidate_unref.

resolved: minor cleanups

man: use ellipses for ranges in range descriptions

… and in few other places ;)

import: properly verify roothash_signature + verity download, too

Follow-up for 133b34f69a72dc90d4e336837d699245390c9f50 where this was
forgotten.

While we are at it, bring the parameters into the same order as we
declare them in the PullRaw/PullTar objects, i.e. match them to the
canonical order.

import: make sure we can import empty files

import: don't invoke compress callbacks with empty data

It's pointless if no data was generated. (This happens if an empty file
is compressed)

import: use unlink_and_free() + rm_rf_subvolume_and_free() more

import: fix typo in help text

Merge pull request #18395 from bluca/make_docs_img_clean

Add Python 3.7 compat in update-dbus-docs and fix regression in integration tests 'make clean'

New directives NoExecPaths= ExecPaths=

Implement directives `NoExecPaths=` and `ExecPaths=` to control `MS_NOEXEC`
mount flag for the file system tree. This can be used to implement file system
W^X policies, and for example with allow-listing mode (NoExecPaths=/) a
compromised service would not be able to execute a shell, if that was not
explicitly allowed.

Example:
[Service]
NoExecPaths=/
ExecPaths=/usr/bin/daemon /usr/lib64 /usr/lib

Closes: #17942.

test: fix 'make clean' not removing shared image

tools: make update-dbus-docs compatible with Python 3.7

Debian Stable uses Python 3.7, but there are a couple of 3.8 features used
in the script. Add fallbacks.

man: various typos and other small issues

Fixes #18397.

ci: build the Fedora RPMs with -Werror

man: rework description of --timestamp

Existing markup would be rendered improperly by groff. For #18397.

docs: add missing plural in title reference

meson: fix indentation in one spot

Merge pull request #18392 from keszybz/update-target-rename

Add various missing license headers and rename meson targets for consistency

ci: enable Packit integration

Let's enable the Packit integration and see if it's a viable option for
us. This configuration builds systemd on Fedora (on x86_64, i386, and
aarch64) and runs the unit test suite. To do that, it uses the specfile
from Fedora Rawhide[0] with some minor modifications, thus dropping the
need to have a specfile in the upstream repository.

So far the builds took around 25 minutes each, so speed-wise it's pretty
good. The two remaining supported architectures (s390x and armhfp) are
excluded, for now, since they're emulated and build there takes a really
long time (~4 hours).

[0] https://src.fedoraproject.org/rpms/systemd/

po: specify LGPL-2.1+ for all translation files

networkd: add header to distributed "config" files

license: LGPL-2.1+ -> LGPL-2.1-or-later

Follow-up for db9ecf050165fd1033c6f81485917e229c4be537 and
faa73d4e0c8095fedd98ff29851b9634810ff97e.

kernel-install: add boilerplate on installed .install files

Those files distribured, so they should have the same header as
kernel-install itself. Let's fix indentation while at it.

tools: rename helper to match target name

The target is update-syscall-tables, so let's call the script
update-syscall-tables.sh to reduce the cognitive overhead when
trying to find the right file.

Use .txt as the extension of arch syscall lists

This makes it easier to filter those files and tells editors that they should
be treated as plain text.

Use .txt as the extension for syscall list file

Upstream uses .text, but this is rather unusual. Let's use .txt as the usual
suffix for text files. This tells various editors and such that the file should
be treated as plain text. I also want to a script to summarize license status,
and having an easy-to-recognize suffix makes this easier.

docs: expose GVARIANT-SERIALIZATION as markdown

timesync: add header to distributed file

We don't include a license header in .conf and similar files,
but we should include a header that tells the user that this is
our file and points to some docs.

tree-wide: add spdx header on source files

version.h is tiny, but the other two certainly deserve a license header.

tree-wide: add spdx header on all scripts and helpers

Even though many of those scripts are very simple, it is easier to include
the header than to try to say whether each of those files is trivial enough
not to require one.

missing-syscalls: add license header in the version-controlled generated file

If the file was always generated on the fly, the header would be pointless.
But since we distribute it, it should be there. C.f.
a0e150b2f4933ae7546fce9a2773b0208b2dc269.
This was forgotten in 35b42e560039fd87d4ae4d99cd54d1d4e89710b1.

udev.pc: add license header

All other .pc files have the same header. Not sure why this one
was forgotten.

sysv-install.skeleton: use CC0 as the license

We didn't specify any license, which made the script awkward to use. Let's be
maximally permissive. CC0 is used for other documentation-code already.

generate-dns_type-gperf: modernize python syntax

generate-sys-test: modernize Python and C code

Meson itself requires Python 3.6, which has f-strings. So I think it's fine to
use them here too. I wanted to use walrus for 'if m:= re.search(...)', but that'd
require 3.8.

seccomp_restrict_sxid: return ENOSYS for openat2()

We reject all openat2() calls because it is currently not possible to
inspect its flags parameter via seccomp.

Fallback code is more likely to look for ENOSYS than EPERM.

Drop obsolete vimrc file

We have another .vimrc in the root of the repo that has a superset of the
content of this file.

Merge pull request #18388 from keszybz/update-target-rename

meson: rename update targets for consistency

meson: rename target to update-hwdb-autosuspend

The script is renamed to match.

Now all targets are named uniformly in a tab-completion-friendly fashion, with
the exception of systemd-update-po which is generated by the i18n module
automatically:

$ ninja -C build -t targets | grep update
systemd-update-po: phony
update-syscall-tables: phony
update-syscall-header: phony
update-hwdb: phony
update-hwdb-autosuspend: phony
update-dbus-docs: CUSTOM_COMMAND
update-man-rules: CUSTOM_COMMAND

meson: rename target to update-hwdb

The goal is to have all "update-*" targets named uniformly so that
tab-completion works. The script is renamed to match.

meson: rename target to update-man-rules

Same justification as for update-dbus-docs.

meson: rename target to update-dbus-docs

Very old versions of meson did not include the subdirectory name in the
target name, so we started adding various "top-level" custom targets in
subdirectories. This was nice because the main meson.build file wasn't
as cluttered. But then meson started including the subdir name in the
target name. So let's move the definition to the root so we can have all
targets named uniformly.

Merge pull request #18340 from ddstreet/integration-tests-no-build

allow test/run-integration-tests.sh to work without a local build

treewide: tighten variable scope in loops (#18372)

Also use _cleanup_free_ in one more place.

Merge pull request #18380 from yuwata/test-network-ipv6-proxy-ndp

test-network: add tests for IPv6ProxyNDPAddress=

test/TEST-01-BASIC: also install testsuite.target

This test doesn't require the tests to be installed, so it must manually
install required test services and targets itself, including the default
target of testsuite.target

Also use $TEST_UNITS_DIR which is set by test-functions instead of
calculating the path

test/run-integration-tests.sh: adjust arg processing

The script currently parses either 'clean' or 'clean-again' as wanting
to clean both before and after running tests. This fixes that to split
the action up; clean runs before tests, clean-again after; and also
verifies the parameter(s) before passing them to make.

test: allow run-integration-tests.sh to run without build

test/test-functions: allow installing systemd files from local system

Add NO_BUILD var to allow testing with no local build, by installing
local systemd files into the image.

This only works for debian-like distros currently, that use the
tools 'apt' and 'dpkg' for package management.

test: find $BUILD_DIR in test-functions, remove from other scripts

The $BUILD_DIR is only used in test-functions, and doesn't need to
be specified in any other scripts. Additionally, to be able to allow
the integration test suite to be run against locally installed binaries,
instead of built binaries, moving BUILD_DIR logic completely into
test-functions allows later patches to be simpler.

test/test-functions: add variables for several dir locations

test/test-functions: move var assignment

This makes no code change, only moves a small block of vars higher in the
file. This makes the next commit a bit easier to read.

test: remove unused 'basedir' var from integration test makefiles

Merge pull request #18384 from poettering/mangle-os-fix

import: two fixes to OS mangling logic

test-network: retry several times if expected LLDP info is not obtained

As LLDP thing does not get involved in the link status, `networkctl lldp`
may not provide an expected information even if the link is in
'configured' state.

Fixes #17360.

Merge pull request #18377 from yuwata/sd-device-cleanups

sd-device: several tiny cleanups

Merge pull request #18382 from yuwata/fix-downgrade-to-bool

sd-device,sd-netlink: trivial cleanups

import-common: when mangling OS trees, propagate ownership/mode from subdir to parent

After all we want to remove the top-level dir, and make it look like the
only subdir, hence propagate the attributes from the subdir to the
top-level dir.

import-common: fix log message string

The trees do look like directory trees, obviously. But they don't like
OS trees.

network: drop unnecessary condition in error path

See neigh_add() in kernel. It does not return EEXIST.

network: drop wrong flag for neighbor entry

NLM_F_REQUEST is a nlmsg flag, not a neighbor flag.

test-network: add tests for IPv6ProxyNDPAddress=

sd-device: do not use downgrade-to-bool feature

sd-netlink: fix indentation

sd-netlink: do not use downgrade-to-bool feature

docs/ENVIRONMENT: move entry for systemd-udevd

`$SYSTEMD_REBOOT_TO_FIRMWARE_SETUP=` or friends are for logind.

sd-device: use size_t for index in the loop

sd-device: use string_hash_ops_free_free

sd-device: add a short comment why we simply return negative errno here on failure

sd-device: rename variables and use TAKE_PTR()

sd-device: use string_hash_ops_free_free

sysusers: flush nscd's caches whenever /etc/{passwd,group} are modified

Merge pull request #18374 from mrc0mmand/assorted-ci-tweaks

Assorted CI tweaks

ci: use the recommended meson syntax

See: docs/HACKING.md

ci: drop an unnecessary sudo