update-utmp: code modernizations

update TODO

bus: when proxying messages from the bus driver patch the driver's well-known name into the sender

bus: the owner of the bus driver name as reported by the driver's
GetNameOwner() bus call is the bus driver name itself, for compatibility
with dbus1

nspawn: fix reboot event fd reuse

core: in containers, don't wait for cgroup empty notifications which will never come

core: use a bit more PID_FMT

core: make sure to always go through both SIGTERM and SIGKILL states of units

Given that we now have KillMode=mixed where SIGTERM might kill a smaller
set than SIGKILL we need to make sure to always go explicitly throught
the SIGKILL state to get the right end result.

keymap: Add Toshiba EQUIUM

Thanks Aleksander Kowalski <aleksander.kowalski.1@gmail.com>!

service: allow KillMode=mixed in conjunction with PAMName=

core: introduce new KillMode=mixed which sends SIGTERM only to the main process, but SIGKILL to all daemon processes

This should fix some race with terminating systemd --user, where the
system systemd instance might race against the user systemd instance
when sending SIGTERM.

bus: fake security labels again

(The kernel module got fixed, so let's reenable this again)

man: remove erroneous history section

manager: remove "debugging" "feature"

manager: requeue the cylon eye for 5s later when a job finishes

We'd reqeue the next status update very soon after. Change it so that we wait
for full 5s without any job status changes until we print anything.

manager: print ephemeral information about running jobs' timeouts (v2)

This reverts commit 28c758de94bc8ba97b89d9dab3f517cf466978d0
but makes job_coldplug smarter.

In (v1) I changed the job start timestamp to be always set, so the
start time can be reported in the cylon eye message.  The bug was that
when deserializing jobs, they would be ignored if their start
timestamp was unset which was synonymous with no timeout. But after
the change, jobs would have a start timestamp set despite having no
timeout. After deserialization they would be considered immediately
expired. Fix this by checking if the timeout is not zero when
considering jobs for expiration.

Base mkostemp_safe on mkostemp

It is nice to wrap umask handling and return convention,
but glibc's mkostemp is async-signal-safe already.

Get rid of write_safe

Current glibc implementation is safe. Kernel does this atomically,
and write is actually implemented through writev. So if write is
async-signal-safe, than writev pretty much must be too.

keymap: Add Sony Vaio VGN-FW250

https://launchpad.net/bugs/1271163

keymap: Add release quirk for Acer AOA switchvideomode key

https://launchpad.net/bugs/1272658

build-sys: disable lto also for libsystemd-id128

Another instance of https://sourceware.org/bugzilla/show_bug.cgi?id=16504.

always use the same code for creating temporary files

Let's unify our code here, and also always specifiy O_CLOEXEC.

util: pick slightly safer open() flags when creating temporary files

util: define O_TMPFILE on x86/x86-64, where the generic value is used

On other archs we'll not define it so that open_tmpfile() falls back to
unguessable name + unlink.

util: pass original flags value to mkostemp(), in open_tmpfile()

util: simplify mkostemp_safe()

Make it use dev_urandom() and endswith().

util: introduce new dev_urandom() call that is like random_bytes() but doesn't fall back to PRNG

util: modernize loop_read() and loop_write() a bit

Let's make use of fd_wait_for_event() here, instead of rolling our own.

bus: reorder a few things

bus: update kdbus.h (ABI break)

Revert "manager: print ephemeral information about running jobs' timeouts"

This reverts commit 2cba2e03524ec0922ddc70f933e8a89b7d23b4ec.

It breaks bootup with dracut, the transition to the real rootfs fails.

manager: also turn on output on unit failure

manager: add systemd.show_status=auto mode

When set to auto, status will shown when the first ephemeral message
is shown (a job has been running for five seconds). Then until the
boot or shutdown ends, status messages will be shown.

No indication about the switch is done: I think it should be clear
for the user that first the cylon eye and the ephemeral messages appear,
and afterwards messages are displayed.

The initial arming of the event source was still wrong, but now should
really be fixed.

journal: guarantee async-signal-safety in sd_journald_sendv

signal(7) provides a list of functions which may be called from a
signal handler. Other functions, which only call those functions and
don't access global memory and are reentrant are also safe.
sd_j_sendv was mostly OK, but would call mkostemp and writev in a
fallback path, which are unsafe.

Being able to call sd_j_sendv in a async-signal-safe way is important
because it allows it be used in signal handlers.

Safety is achieved by replacing mkostemp with open(O_TMPFILE) and an
open-coded writev replacement which uses write. Unfortunately,
O_TMPFILE is only available on kernels >= 3.11. When O_TMPFILE is
unavailable, an open-coded mkostemp is used.

https://bugzilla.gnome.org/show_bug.cgi?id=722889

Replace mkostemp+unlink with open(O_TMPFILE)

This will only work on Linux >= 3.11, and probably not on all
filesystems. Fallback code is provided.

bus: update bloom filter description a bit

bus: rework bloom filter logic to operate with variable bloom filter
sizes and numbers of hash functions

In order to make the bloom filter logic more future proof communicate
bloom filter parameters from the original bus creator to the clients,
and allow them to be variable within certain ranges.

bus: add API calls for connecting to starter bus

Add new calls sd_bus_open() and sd_bus_default() for connecting to the
starter bus a service was invoked for, or -- if the process is not a
bus-activated service -- the appropriate bus for the scope the process
has been started in.

resolve: update sd-resolve to match the other APIs in style and functionality

bus: when we cannot bus activate a service because we go down, drop one
message from the queue

keymap: Add HP Chromebook 14 (Falco)

Thanks to Stefan Nagy <public@stefan-nagy.at>.

core: require mounts for the root and working directories

We know that launching a unit will fail if some required directories
haven't been mounted yet. There's no point in starting it just to
have it fail even before it gets a chance to run.

core: simplify check for path absoluteness

Just a microopt.

manager: rearm jobs timer

It would fire just once.

Also fix units from sec to usec as appropriate.

Decrease the switching interval to 1/3 s, so that when the time
remaining is displayed with 1s precision, it doesn't jump by 2s every
once in a while. Also, the system is feels noticably faster when the
status changes couple of times per second instead of every few
seconds.

manager: print ephemeral information about running jobs' timeouts

Produces output like:
[  *** ] (1 of 2) A start job is running for slow.service (33s / 1min 30s)

The first nubmer is the time since job start, the second is the job timeout.

core: add function to tell when job will time out

Things will continue when either the job timeout
or the unit timeout is reached. Add functionality to
access that info.

pam_systemd: Ignore vtnr when seat != seat0

logind considers it an error for a seat other than seat0 to have a
non-zero vtnr for CreateSession

dbus1-generator: use XDG_RUNTIME_DIR instead of /run/user/%lu/

build-sys: expose more phony targets

build-sys: add a phony target for cppcheck

The cppcheck target was introduced by commit 16f4efb4150c65e3c61adaa8ea512489de49f532
"build-sys: add cppcheck target". But it is preferable to use a make phony target
for it, as this patch does.

There are two general reasons to use a phony target: to avoid a
conflict with a file of the same name, and to improve performance. In
this case the first reason is obvious, and the second is that make
skips the implicit rule search for phony targets, since it knows that
phony targets do not name actual files that could be remade from other
files (as described in the "Gnu Make" Manual).

cryptsetup: Support key-slot option

Debian recently introduced the option key-slot to /etc/crypttab to
specify the LUKS key slot to be used for decrypting the device. On
systems where a keyfile is used and the key is not in the first slot,
this can speed up the boot process quite a bit, since cryptsetup does
not need to try all of the slots sequentially. (Unsuccessfully testing
a key slot typically takes up to about 1 second.)

This patch makes systemd aware of this option.

Debian bug that introduced the feature:
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=704470

build-sys: update .pc.in files

build-sys: merge libsystemd-id128 into libsystemd

build-sys: create "compatibility libraries" section

Compat stuff is moved to src/compat-libs/.
Warnings are issued when programs are linked with the deprecated library.

build-sys: disable lto for compatibility libraries

https://sourceware.org/bugzilla/show_bug.cgi?id=16504

build-sys: merge libsystemd-login into libsystemd

A compatibility libsystemd-login library is created which uses
.symver and ifunc magic proposed by Lennart to make programs linked
to the old library name continue to work seamlessly.

Unfortunately the bfd linker crashes:
  https://sourceware.org/bugzilla/show_bug.cgi?id=16467
This will be fixed in binutils 2.25.

As a work-around, gold can be used:
  LDFLAGS=-Wl,-fuse-ld=gold

Unfortunately the switch to pick the linker appeared in gcc 4.8.

This also doesn't work with LLVM:
  http://llvm.org/bugs/show_bug.cgi?id=11897

build-sys: default to gold linker

gold doesn't exhibit the problems with linking of compatibility
libraries.

It is also slightly faster:

make clean && make -j5   bfd       gold

real                   34.885s     33.707s
user                   34.486s     32.189s
sys                    9.929s      10.845s

real                   35.128s     33.508s
user                   34.660s     31.858s
sys                    10.798s     10.341s

real                   35.405s     33.748s
user                   34.765s     32.384s
sys                    11.635s     10.998s

real                   35.250s     33.795s
user                   34.704s     32.253s
sys                    11.220s     11.469s

touch src/libsystemd/sd-bus.c && make -j5
                        bfd        gold

real                   10.224s      9.030s
user                   11.664s      9.877s
sys                    3.431s       2.878s

real                   10.021s      9.165s
user                   11.526s      9.990s
sys                    3.061s       3.015s

real                   10.233s      8.961s
user                   11.657s      9.973s
sys                    3.467s       2.202s

real                   10.160s      9.086s
user                   11.637s      9.950s
sys                    3.188s       2.859s

dbus1-generator: add missing "path=" and "unix:*" to DBUS environment variables

This works around the goa daemon crash:
  Jan 25 20:54:24 lon goa[1363]: goa-daemon version 3.10.2 starting [main.c:117, main()]
  Jan 25 20:54:24 lon systemd[424]: Starting Legacy D-Bus Protocol Compatibility Daemon (PID 1363/UID 2702)...
  Jan 25 20:54:24 lon systemd[424]: Started Legacy D-Bus Protocol Compatibility Daemon (PID 1363/UID 2702).
  Jan 25 20:54:24 lon kernel: goa-daemon[1363]: segfault at 20 ip 00007f46914b26d5 sp 00007fff1ae6d9a0 error 4 in libtelepathy-glib.so.0.80.1[7f469144f000+228000]
  Jan 25 20:54:24 lon systemd-coredump[1368]: Process 1363 (goa-daemon) dumped core.
  Jan 25 20:54:32 lon goa[1375]: goa-daemon version 3.10.2 starting [main.c:117, main()]

networkd: improve logging a bit

Fix/add some structured logging messages, and be uniform about when we WARN and ERR.

networkd: add basic VLAN support

sd-rtnl: extend tests a bit

sd-rtnl: add support for reading containers

Also insist on messages being sealed before reading them. In other
words we don't allow interleaving of reading and appending to messages.

bus: bump memfd vs. copy limit to 512k to reflect recent benchmarks

sd-rtnl: add support for nested containers

bus: update kdbus.h (ABI break)

TODO: update

ps can display slice unit for a process.

https://gitorious.org/procps/procps/commit/93e7872995d0d1ae850e12fb5fdd64928e2d5e60

bus: update kdbus.h (ABI break)

bus: change API to expose "inverted" no_reply and no_auto_start message flags non-inverted

update TODO

bus: add sd_bus_process_priority() to support prioq mode of kdbus

bus: expose priority field of messages, in preparation for prioq support

bus: temporarily disable faking of seclabels, as this is broken in kdbus right now

bus: set debug name of proxy bus connections

busctl: include connection name in busctl output

bus: unescape connection name when reading it from credentials

sd-rtnl: simplify sd_rtnl_message_addr_new()

Split out into sd_rtnl_message_addr_set_{prefixlen,flags,scope}().

networkd: add basic bonding support

Refactor bridging support to be generic netdev support and extend it to
cover bonding as well.

sd-rtnl: add sd_rtnl_message_append_u16()

DEFINE_STRING_TABLE_LOOKUP: return _INVALID_* rather than assert on NULL string

sd-rtnl: link - allow setting the change mask

bus: pass timestamp info only to caller if he asked for it

bus: include connection name in credentials structure

bus: when allocating a memfd for usage in a bus connection, name the memfd after the bus connection

bus: add support for attaching name to bus connections for debugging purposes

bus: extend memfd api so that we can label memfds for debugging purposes

man: document message timestamping/sequence number API

bus: rename sd_bus_get_realtime_timestamp() to sd_bus_get_realtime_usec()

This brings the calls into similar style as the respective functions in
libsystemd-journal, and also is a bi shorter and more descriptive since
it clarifies the time unit used.

bus: simplify naming of feature negotation calls

Two verbs in a function name suck, so let's simplify this a bit.

bus: add API for querying the kdbus message sequence number

udev: static_node - do not exit rule after first static_node item

The nodes usually do not exist, so handle the next item instead of
skipping the entire rule.

bus: implement synchronous message calls via kernel ioctl

libsystemd: split up into subdirs

We still only produce on .so, but let's keep the sources separate to make things a bit
less messy.

hwdb: Update database of Bluetooth company identifiers

libsystemd-dhcp: revert merge into libsystemd

Unlike the other merged libs, the rest of libsystemd will never depend on
sd-dhcp-client, so there is no reason not to keep it separate.

TODO: update

Revert "sd-bus: let sd_bus_call() use the synchronous kdbus method"

This reverts commit 021b89861d0b1defcbd6ba71d1aaf6271785a942.

Something is not quite right, "KillUnit" sent from systemctl is not
handled correctly and shutdown has problems.

logind: introduce session "positions"

logind has no concept of session ordering. Sessions have a unique name,
some attributes about the capabilities and that's already it. There is
currently no stable+total order on sessions. If we use the logind API to
switch between sessions, we are faced with an unordered list of sessions
we have no clue of.

This used to be no problem on seats with VTs or on seats with only a
single active session. However, with the introduction of multi-session
capability for seats without VTs, we need to find a way to order sessions
in a stable way.

This patch introduces session "positions". A position is a simple integer
assigned to a session which is never changed implicitly (currently, we
also don't change it explicitly, but that may be changed someday). For
seats with VTs, we force the position to be the same as the VTnr. Without
VTs, we simply find the lowest unassigned number and use it as position.
If position-assignment fails or if, for any reason, we decide to not
assign a position to a session, the position is set to 0 (which is treated
as invalid position).
During session_load() or if two sessions have the same VTnr, we may end up
with two sessions with the same position (this shouldn't happen, but lets
be fail-safe in case some other part of the stack fails). This case is
dealt with gracefully by ignoring any session but the first session
assigned to the position. Thus, session->pos is a hint, seat->positions[i]
is the definite position-assignment. Always verify both match in case you
need to modify them!

Additionally, we introduce SwitchTo(unsigned int) on the seat-dbus-API.
You can call it with any integer value != 0 and logind will try to switch
to the request position. If you implement a compositor or any other
session-controller, you simply watch for ctrl+alt+F1 to F12 and call
SwitchTo(Fx). logind will figure a way out deal with this number.
For convenience, we also introduce SwitchToNext/Previous(). It should be
called on ctrl+alt+Left/Right (like the kernel-console used to support).

Note that the public API (SwitchTo*()) is *not* bound to the underlying
logic that is implemented now. We don't export "session-positions" on the
dbus/C API! They are an implementation detail. Instead, the SwitchTo*()
API is supposed to be a hint to let logind choose the session-switching
logic. Any foreground session-controller is free to enumerate/order
existing sessions according to their needs and call Session.Activate()
manually. But the SwitchTo*() API provides a uniform behavior across
session-controllers.

Background: Session-switching keys depend on the active keymap. The XKB
specification provides the XKB_KEY_XF86Switch_VT_1-12 key-symbols which
have to be mapped by all keymaps to allow session-switching. It is usually
bound to ctrl+alt+Fx but may be set differently. A compositor passes any
keyboard input to XKB before passing it to clients. In case a key-press
invokes the XKB_KEY_XF86Switch_VT_x action, the keypress is *not*
forwarded to clients, but instead a session-switch is scheduled.

This actually prevents us from handling these keys outside of the session.
If an active compositor has a keymap with a different mapping of these
keys, and logind itself tries to catch these combinations, we end up with
the key-press sent to the compositor's clients *and* handled by logind.
This is *bad* and we must avoid this. The only situation where a
background process is allowed to handle key-presses is debugging and
emergency-keys. In these cases, we don't care for keymap mismatches and
accept the double-event. Another exception is unmapped keys like
PowerOff/Suspend (even though this one is controversial).

exec: introduce PrivateDevices= switch to provide services with a private /dev

Similar to PrivateNetwork=, PrivateTmp= introduce PrivateDevices= that
sets up a private /dev with only the API pseudo-devices like /dev/null,
/dev/zero, /dev/random, but not any physical devices in them.

update TODO

sd-dhcp-client: refactor state machine check