varlink: honour "sensitive" flag of json variant objects all the way into the socket

Let's honour the flag if it is set, just to be safe.

(This only handles the case for the writing side: whenever the client
code hands us a json object with the flag set we'll honour it till the
it's out of reach for us. This does *not* handle the reading side, which
is left for a later patch once needed. We probably should add a
per-connection flag that simply globally enables the sensitive logic for
all messages coming in on a specific varlink conneciton.)

test: add varlink fd passing test

varlink: implement file descriptor passing

Let's add infrastructure to implement fd passing in varlink, when used
over AF_UNIX.

This will optionally associate one or more fds with a message sent via
varlink and deliver it to the server.

varlink: add helper that clears the currently processed incoming message JSON object

Some minor refactoring. This adds a helper call whose only job is to
unref the JSON object of the currently processed incoming message.

This doesn't make too much sense on its own, given this just replaces
one line by another. However, in a later patch when we'll add fd passing
we'll extend the function to also destroy associated fds, and then it
will start to make more sense.

varlink: get rid of "reply" field

So far, if we do a synchronous varlink call from the client side via
varlink_call(), we'll
move the returned json object from "v->current" into "v->reply", and
keep it referenced there until the next call. We then return a pointer
to it. This ensures that the json object remains valid between two
varlink_call() invocations.

But the thing is, we don't need a separate field for that, we can just
leave the data in "v->current". This means VARLINK_IDLE_CLIENT state
will be permitted with and without v->current initialized. Initially,
after connection setup it will be set to NULL, but after the first
varlink_call() it will be set to the most recent response, pinning it
into memory.

varlink: add some comments explaining what by various errors are defined

Fix compilation error

nspawn: container network interface naming

systemd-nspawn now optionally supports colon-separated pair of
host interface name and container interface name for --network-macvlan, --network-ipvlan and --network-interface options.
Also supported in .nspawn configuration files (i.e Interface=, MACVLAN=, IPVLAN= parameters).

man page changed for ntwk interface naming

Merge pull request #25608 from poettering/dissect-moar

dissect: add dissection policies

Merge pull request #27165 from poettering/fdstore-envvar

service: tell service processes that the fdstore is available via an e…

Merge pull request #27223 from dtardon/install-changes

Simplify use of bus_deserialize_and_dump_unit_file_changes()

Merge pull request #27220 from yuwata/sd-device-follow-ups-for-devlink

sd-device: several follow-ups about devlink creation

man: rebreak all of sd_notify(3)

No change of contents, just some rebreaking of the full file to match
our current line break settings.

service: tell service processes that the fdstore is available via an env var

systemctl: reduce variable scope

tree-wide: drop unneeded output params

Neither of the callers of bus_deserialize_and_dump_unit_file_changes()
touches the changes array, so let's simplify things and keep it internal
to the function.

Merge pull request #27033 from dtardon/array-cleanup

Use CLEANUP_ARRAY more

udev-test: add more testcases for SYMLINK

test: drop binary stripping stuff

Stripping the binaries in the test images makes potential stack straces
quite useless, so let's drop the stripping stuff to make test fails a bit
more developer friendly.

Related: https://github.com/systemd/systemd-centos-ci/pull/616

sd-device: absolute devlink must start with /dev/

This also makes device node path is handled with the same logic.

Addresses https://github.com/systemd/systemd/pull/27169#discussion_r1162739511.

Follow-up for 2c5f119c3cc78bd7da0c7c56b57eca43bac464c1.

Merge pull request #27214 from DaanDeMeyer/firstboot

firstboot: Use root directory file descriptor for everything

Modified to use STRV_MAKE() in strv_env_name_is_valid() function listed in env-util.c

Merge pull request #27209 from jamacku/patch-1

Don't run release workflow on `systemd-security` & drop checkout action

systemctl: suppress error for try-* if unit is masked

Closes #16521

boot: Fix alignment of long long inside structs on x86

On x86 EFI follows the windows ABI, which expects 8-byte aligned long
long. The x86 sysv ELF ABI expects them to be 8-byte aligned when used
alone, but 4-byte aligned when they appear inside of structs:

    struct S {
        int i;
        long long ll;
    };

    // _Static_assert(sizeof(struct S) == 12, "x86 sysv ABI");
    _Static_assert(sizeof(struct S) == 16, "EFI/MS ABI");

To get the behavior we need when building with sysv ELF ABI we need to
pass '-malign-double' to the compiler as done by EDK2.

This in turn will make ubsan unhappy as the stack may not be properly
aligned on entry, so we have to tell the compiler explicitly to re-align
the stack on entry to efi_main.

This fixes loading EFI drivers on x86 that were previously always
rejected as the EFI_LOADED_IMAGE_PROTOCOL had a wrong memory layout.

See also: https://github.com/rhboot/shim/pull/516

ci: drop checkout from release workflow

It's not required as per comment - https://github.com/systemd/systemd/pull/27110#issuecomment-1499653913

ci: don't run release wf on `systemd-security`

portabled-image-bus: use CLEANUP_ARRAY

portabled-image-bus: use CLEANUP_ARRAY

portabled-image-bus: use CLEANUP_ARRAY

portabled-bus: use CLEANUP_ARRAY

sd-bus: use _cleanup_

sd-bus: use CLEANUP_ARRAY

execute: use CLEANUP_ARRAY

execute: use more automatic cleanup

hwdb: add matrix for Asus BR1100F (#27197)

execute: use CLEANUP_ARRAY

systemctl-set-default: use CLEANUP_ARRAY

systemctl-preset-all: shorten code a tiny bit

systemctl-preset-all: use CLEANUP_ARRAY

systemctl-enable: use CLEANUP_ARRAY

systemctl-add-dependency: shorten code a tiny bit

systemctl-add-dependency: use CLEANUP_ARRAY

portablectl: use CLEANUP_ARRAY

machinectl: do not repeat the same comparison

machinectl: drop unneeded else

machinectl: use CLEANUP_ARRAY

dbus-manager: use CLEANUP_ARRAY

firstboot: Use root directory file descriptor for everything

There were a few remaining cases where we used arg_root instead of
the root directory file descriptor. Let's port those over to use the
root directory file descriptor as well.

user-util: Add default_root_shell_at()

dbus-manager: use CLEANUP_ARRAY

Merge pull request #27186 from yuwata/os-release

os-util: several cleanups and introduce _at() variants of os-release parsers

Merge pull request #27169 from yuwata/udev-rule-refuse-unsafe-path

sd-device,udev: refuse unsafe path in SYMLINK= and TAG=

hwdb: fix ambiguous glob pattern for Lenovo machines

Fixes #27195.

Follow-up for a5c0ad9a9a2964079a19a1db42f79570a3582bee.

os-util: introduce several _at() variants of os-release parsers

os-util: make $SYSTEMD_OS_RELEASE prefixed with the root directory

To make it consistent with other env vars, e.g. $SYSTEMD_ESP_PATH or
$SYSTEMD_XBOOTLDR_PATH.

This is useful when the root is specified by a file descriptor, instead
of a path.

os-util: merge parse_{extension,os}_release()

os-util: invert order of arguments in extension release parser

For consistency with other functions.
Unfortunately, va_start() requires that the previous argument is a
pointer, hence the order of the arguments in the internal function
cannot be changed.

os-util: shorten temporal variable names

No functional change, just refactoring.

os-util: log one more error cause

os-util: do not use 'r' for storing loop status

The variable 'r' is usually used for storing return value of functional
call. Let's introduce another boolean to store the current loop status.

No functional change, just refactoring.

os-util: return earlier when unsupported image class is specified

os-util: return earlier when extension release file is found

No functional change, just refactoring.

os-util: split-out open_os_release() from open_extension_release()

The logics of opening os-release and extension-release are completely
different.
No functional change, just refactoring.

os-util: fix fd leak on failure

os-util: make open_extension_release() return O_PATH fd

os-util: drop fopen_extension_release()

compress: replace compress_blob() with compress_blob_explicit()

And make compress_xyz() return 0 on success, as we know which compression
algorithm is used when calling compress_blob().

Follow-up for 2360352ef02548723ac0c8eaf5ff6905eb9eeca5.

Merge pull request #27206 from yuwata/udev-rename

udev: rename arguments and options, update comments

chase: drop redundant call of delete_trailing_chars()

In that branch, 'root' is a non-root and absolute path.
Hence, delete_trailing_chars() does not make the path empty.
And, if the path contains redundant slashes at the end, that will be
dropped by path_simplify().

Merge pull request #27207 from masatake/busctl--help-msg

busctl: add --xml-interface to the help message

Merge pull request #27201 from yuwata/o-path-support

Support O_PATH more

tree-wide: A few more uses of "unmet" for conditions

This is a followup to
413e8650b71d4404a7453403797f93d73d88c466
> tree-wide: Use "unmet" for condition checks, not "failed"

Since I noticed when running `systemctl status` on a recent
systemd still seeing
`Condition: start condition failed`

To recap the original rationale here for "unmet" is that it's
normal for some units to be conditional, so the term "failure"
here is too strong.

Merge pull request #27199 from yuwata/find-esp

path-util: introduce path_prefix_root_cwd(), and use it in find_esp() and friends

Merge pull request #27202 from yuwata/os-release-tiny-cleanups

os-util: tiny cleanups

env-file: introduce parse_env_file_fdv()

shell-completion: add --xml-interface option of busctl to the rules

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

busctl: add --xml-interface to the help message

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

find-esp: use path_prefix_root_cwd()

Unlikely, but even if find_esp() or friends called with unnormalized or
relative 'root', let's make the result path normalized and absolute.

Note, before 63105f33edad423691e2d53bf7071f99c83799ba, these functions
returned an absolute and normalized path. But the commit made the result
path simply concatenated with root.

Follow-up for 63105f33edad423691e2d53bf7071f99c83799ba.

path-util: introduce path_prefix_root_cwd()

test: update description

udev/scsi_id: rename positional arguments

device-nodes: rename argument

os-util: drop redundant declaration of load_os_release_pairs()

os-util: use _IMAGE_CLASS_INVALID

When extension is not specified, image class is not necessary to be
specified. Let's use _IMAGE_CLASS_INVALID as an indicator that no
extension is specified.

os-util: move declaration of string table lookup for image class

portable: always reopen fd of release file

To make it support the case that the fd is O_PATH.

copy: make copy_bytes() support O_PATH fds

Merge pull request #27182 from mrc0mmand/test-tweaks

test: a couple of stability tweaks

Merge pull request #27184 from yuwata/xfopenat-full

fileio: introduce xfopenat_full()

ci: add permissions to make a release

follow-up to https://github.com/systemd/systemd/pull/27071
in order to create Github Releases, the job needs permissions to write
contents

also:
- pinned the `softprops/action-gh-release` action to a specific commit
- made it only active on the `systemd` organization repos (so not on
  forks)

Merge pull request #27193 from yuwata/analyze-blame

analyze: make 'blame' work even the default target not reached

Merge pull request #27194 from yuwata/chase-cleanups

chase: several cleanups

fd-util: slightly optimize dir_fd_is_root()

When STATX_MNT_ID is not supported, we need to manually obtain mount id.
Let's compare inodes earlier.

chase: use dir_fd_is_root() to check if fd points to the root directory

As commented in dir_fd_is_root(), comparing inode is not enough to
determine if we are at the root directory.

chase: use stat_inode_same() at one more place

test: add tests about iterator position for path_find_{first,last}_component()

When path_find_first_component() returns the last component, the iterator
must be an empty string. The fact is heavily used in chaseat(). Let's
explicitly test it.

path-util: make iterator for path_find_last_component() always finish with the beginning of the buffer

chase: extend comment about CHASE_PARENT

chase: drop one redundant call of fstat()

Now, 'st' is always synced with 'fd'. Hence, we can use
stat_verify_directory().