stub: Use log_debug if addons has no applicable sections

This can happen expectedly if an addon purely provides .dtbauto
sections, and there's no match for this machine. Reduce the log message
of this case to "debug" level.

po: Translated using Weblate (Estonian)

Currently translated at 91.6% (242 of 264 strings)

Co-authored-by: Priit Jõerüüt <jrtkbfdr@users.noreply.translate.fedoraproject.org>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/main/et/
Translation: systemd/main

core/exec-credential: fix credentials plain dir exchanging (#40108)

Follow-ups for #39637

Split out from #40093

TEST-70-TPM2: re-enable tpm2-setup test on Alpine/postmarketOS

After 64b5c5f593c8863316323568268e3d07f4f7cac7, the test passes on
Alpine/postmarketOS.

This partially reverts 9fafe89bcc91550f55a96f66972406ce678be2fb.

TEST-54-CREDS: add test case for #40108

core/exec-credential: fix credentials plain dir exchanging

Follow-up for d796c6b7c64bd47b192c5351c955e9b8f4298bd4

rename() may yield ENOTEMPTY rather than EEXIST for existing dir,
so catch that too. Also, both the source and target must be
writable when exchanging.

Test coverage for this logic (i.e. user units with ExecStartPre=)
will be added later.

acl-util: systematically fall back to fchmod() if acl is not available

Same as 2a64b56da44751a3205c16ed4de6aa52c8e92929, but for
fd_acl_make_writable().

While at it, un-export fd_acl_make_{read_only,writable}_fallback(),
instead apply ifdeffery in .c

Revert "acl-util: drop now unused fd_acl_make_writable()"

This reverts commit 4175cd4f400c2e89028878dc265ccd67ca838edd.

It turned out that we still need this. Preparation for later commits.

acl-util: treat pointer type as a whole

Follow-up for 4976d6e9ac0c621a3182416c35350cd0fe2f1977

core/service: do not honor SuccessExitStatus= for our own helpers

They're exclusively under our control, hence errors should not be
suppressed based on external user input.

mkosi: drop gh from mkosi-tools debian/ubuntu

It was removed from testing so building images fails

mkosi: update mkosi commit reference to 9e31235211d975bae25622d6205a8396d104335e

* 9e31235211 pacman: Make sure hookdir exists
* 20009b7f48 make_image: log systemd-repart *.conf files at the --debug level
* b94b415db9 run: Increase string limit for strace when debugging sandbox
* 9f6d9405d6 Ring the terminal bell after the last image has been built
* b509b4246d Add glob in default initrd to exclude some exotic drivers
* 189394b8b9 Allow KernelModules= globs to also match relative to modules root dir
* 92bd086e4e zypper: add --force-resolution flag
* 3637749702 kmod: Only add fully resolved fw path if it exists
* d41ac276c9 Add details to KernelModulesInitrd= doc
* 1b6960ddb1 Fix SplitArtifacts=repart-definitions for addons
* 07464f38d6 Add log_step call in build_kernel_modules_initrd
* 18f5885362 Use proper constants for ansi colors
* 454c1602b6 mkosi-obs: add SplitArtifacts=repart-definitions and use it
* 9e57461af6 Copy repart definitions to staging directory
* 1acab18874 Add SplitArtifacts=repart-definitions
* c5c5c225e8 mkosi-obs: always include verity certificate
* ac5babb8e0 Revert "Use Path.relative_to instead of Path.parts"
* cbb1daeb76 action: Use environment variables instead of inputs
* 97c81eef72 portable: support split roothash

tpm2-util: create leading dirs for anchor secret

Fixes #40087

test: prefer tests with PCR 16 over PCR 11

PCR 16 is intended for debugging purposes, and is the only PCR that can
be reset by software. Let's prefer that for testing.

PCR 11 has a purpose (i.e. kernel is measured there on UKI systems, as
are the boot phases), hence let's not use that for testing.

That should remove any interference of boot time ordering and testing
our tpm code, as we will write to PCR 16 only, and reset it before we
rely on it.

This likely, kind of fixes #39582, but the issue mixes two things, PCR
11 issues on real-life hardware, and PCR 11 isues in our artificial
tests. Only the latter is addressed by this PR, the other issue needs
more debugging, but without logs we cannot do much.

Sync kernel headers and add GUEST_MEMFD_MAGIC (#40104)

core/service: set unit log context in helper processes that bypass cgroup

Since these helper processes aren't spawned in the unit cgroup,
let's explicitly attach unit log context so that all logging gets
attributed to the unit, including the ones done in library calls.

basic: add GUEST_MEMFD_MAGIC from 6.19

 1/1815 systemd:kernel-filesystem-magics FAIL 0.05s exit status 1
――――――――――――――――――――――――――――――――――――― ✀  ―――――――――――――――――――
stderr:
kernel knows additional filesystem magics: GUEST_MEMFD_MAGIC

include: update kernel headers from v6.19~rc1

bus-unit-util: ReloadSignal is a Service property

Follow-up for c133545430897ece77a2066bc740c4a8f7b781e5

ci: remove --quiet from mkosi integration suite run

Given the integration tests take a while to run, it is useful to see
at which point it is while it is running. Sometimes only a test
script or such subset is changed, which means there's no need to
wait for the entire suite to run, especially with the sanitizers
job which is super slow.

Partially reverts 9848f56cc68a5f193d515f080b7b01e6a689ae22

Translations update from Fedora Weblate (#40097)

Translations update from [Fedora
Weblate](https://translate.fedoraproject.org) for
[systemd/main](https://translate.fedoraproject.org/projects/systemd/main/).

Current translation status:

![Weblate translation
status](https://translate.fedoraproject.org/widget/systemd/main/horizontal-auto.svg)

po: Translated using Weblate (Estonian)

Currently translated at 90.1% (238 of 264 strings)

Co-authored-by: Priit Jõerüüt <jrtkbfdr@users.noreply.translate.fedoraproject.org>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/main/et/
Translation: systemd/main

po: Translated using Weblate (Estonian)

Currently translated at 90.1% (238 of 264 strings)

Co-authored-by: Henri Aunin <contact+fedora@hen.ee>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/main/et/
Translation: systemd/main

mkosi: use qemu from noble-proposed instead of ppa

This is also temporary, but demonstrates that the version of qemu
currently in noble-proposed fixes https://launchpad.net/bugs/2127974,
which will ultimately allow for the fix to be released to noble-updates.

integration-test: check tools distribution rather than image distribution

The tools and image distributions may be different.

This also fixes invalid escape sequence.

Follow-up for 9b42cc3b12c17a4b02d713b2ad499a74acecea1f.

mount-util: fix typo

Follow-up for 273c6bc045fdfa50c693d0b88ec2a4cbc9258329.

sysext: Fix config file section docs and --root= (#40063)

tree-wide: normalize comment style

hwdb: Fix ACCEL_MOUNT_MATRIX for Lenovo Ideapad MIIX 310-ICR (#40067)

Tested with monitor-sensor on bvr1HCN44WW

hwdb: sensor: Remove Lenovo IdeaPad Duet 3 accel mount matrix (#40075)

Same case as IdeaPad D330, matrix applied to solve issues in wayland
compositors when is not the way because correct data is send by the
sensor.

As described in #39529, let's remove the matrix.

hwdb: sensor: Add HP OmniBook Ultra Flip 14 accel mount matrix (#40076)

HP OmniBook Ultra Flip Laptop 14-fh0xxx tilt is inverted by default so
screen tilt-face down is up and vice versa, invert the axis then.

namespace: Clone root dir descriptor before use (#39939)

Before doing anything with the root directory file descriptor, let's
make sure we clone it first so that the caller can't mess with mount fd
attributes via mount_setattr() anymore.

We clone during parsing instead of in executor so that the caller can't
mess with the mount fd between invocations.

TEST-50-DISSECT: Make sure RootDirectoryFileDescriptor= can be reused

namespace: Clone root dir descriptor before use

Before doing anything with the root directory file descriptor, let's
make sure we clone it first so that the caller can't mess with mount fd
attributes via mount_setattr() anymore.

We clone during parsing instead of in executor so that the caller can't
mess with the mount fd between invocations.

mount-util: Add mount_fd_clone() helper

The kernel prevents you from open_tree()'ing an open_tree() fd unless it
was created from the caller's mount namespace. For various use cases, we
want to be able to open_tree() arbitrary mount file descriptors. Turns
out there's a way go get around it by mounting the mount file descriptor
in a throw-away mount namespace and then open_tree()'ing the mount file
descriptor. Let's implement this as a new helper mount_fd_clone() and
add a test for it.

Because move_mount()'ing the original fd makes it pretty useless as it
can't be move_mount()'ed again, we optionally make a second clone which
can replace the original fd so it can be cloned again later.

conf-files: include the expected suffix in the 'unexpected suffix' debug message.

core/execute-serialize: do not gracefully skip unknown image policies in executor (#40062)

man/sysext.conf: Fix section name to match code

The code uses SysExt and ConfExt for section names but the docs use
Sysext and Confext.
Align the docs with the code.

sysext: Fix config file support with --root=

Config files for --root= weren't picked up as expected because the
--root= flag got parsed after the config file.
Switch the order of config file and CLI flag parsing while letting the
CLI flags overwrite things set by the config files by tracking state
during parsing.

discover-image: Rework image_make()

Currently, image_new() will calculate the image
path as the combination of dir_path and filename,
which is completely broken if filename is absolute
and dir_path is set.

Let's fix this by thoroughly cleaning up the
image_make() interface. Instead of having four
different arguments to pass in the image path,
let's reduce that to two, a file descriptor and a
path. If no file descriptor is provided, we create
own ourselves by opening the given path.

The callsites are updated to pass in an existing file
descriptor when available. Path calculation is moved
to callers instead of image_make().

tree-wide: Use meson test -q

meson test output is extremely verbose, printing
a separate line for each successful test. Let's
add -q/--quiet everywhere so it only prints full
lines for skipped and failed tests.

hwdb: Add ACCEL_MOUNT_MATRIX for variant of TERRA PAD 1061

Tested with monitor-sensor

resolve: use strcmp when comparing DnsServer names

This fixes an issue where duplicate DNS Servers are added to
to resolv.conf files even when all fields are the same.

core/execute-serialize: do not gracefully skip unknown image policies in executor

Follow-up for 7c0afcdde22d3d94fd23bfd0e473c263aaf54e8a

Addresses https://github.com/systemd/systemd/pull/40060#issuecomment-3641288267

As commented, the unknown values should have been filtered out
in pid1's initial parsing already, and the communication between
pid1 and executor is entirely internal which makes the graceful
practice counterproductive.

shared/image-policy: format ", ignoring" + value msg in our usual style

core: gracefully skip unknown policy designators in RootImagePolicy et al (#40060)

Usually we gracefully ignore unknown configuration parameters, so that
service files can be written by upstreams and used across a variegated
range of distributions with various versions of systemd, to avoid
forcing users to the minimum common denominator and only adding settings
that are supported by the oldest distro supported.

Image policies do not behave like this, and any unknown partition or
policy designator causes the whole unit to fail to parse and a hard
error.

Change it so that parsing RootImagePolicy and friends via unit file or
D-Bus logs but otherwise ignores unknown specifiers, like other options
do.

This allows us to add new specifiers in the future, and users to adopt
them immediately.

Follow-up for d452335aa47fb1f1b11dc75bc462697431e64af3

TEST-85-NETWORK: enable NetworkdSysctlTest

Note, each test case must be prefixed with 'test_'.

This also adds one more log check for issue #40051.

Follow-up for c78bcda4613fe877881f9760da63f2f8f832118a.

meson: bump version to v259~rc3

Chores for RC3 (#40058)

NEWS: update date

NEWS: update contributors list

hwdb: update autosuspend rules

ninja -C build update-hwdb-autosuspend

Update hwdb

ninja -C build update-hwdb

vmspawn: fix typo in log specifier

Follow-up for 179dcf924f7d0ac9398f54baeb39b47abd23aeaf

po: Translated using Weblate (Georgian)

Currently translated at 100.0% (264 of 264 strings)

Co-authored-by: Temuri Doghonadze <temuri.doghonadze@gmail.com>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/main/ka/
Translation: systemd/main

test: Stop using grep -q in integration test

When a TTY is attached to the test unit, grep -q will generate SIGPIPE
for the previous command in the pipeline which in combo with `pipefail`
will cause the command to fail with exit status 141 which will fail the
test.

Replace with >/dev/null to avoid this from happening.

See also https://www.gnu.org/software/grep/manual/html_node/Usage.html
> There is a related problem with Bash’s set -e -o pipefail. Since grep
> does not always read all its input, a command outputting to a pipe read
> by grep can fail when grep exits before reading all its input, and the
> command’s failure can cause Bash to exit.

Co-authored-by: Yu Watanabe <watanabe.yu+github@gmail.com>

bus-wait-for-jobs: fix failed job logging (#40043)

Follow-ups for 0d91a204cb78d692f23e80d3a08f9b81ecad753a.
Fixes #40030.

manager-serialize: add logging for ENOMEM

tree-wide: flatten nested error checks

tar-util: allow to build without acl support (#39965)

This adds minimal definitions provided by libacl to make tar-util built
without libacl support.
Fixes the following compile error:
```
../src/shared/tar-util.c:62:9: error: unknown type name 'acl_t'
   62 |         acl_t acl_access, acl_default;
      |         ^~~~~
```

Follow-up for 4ded7f7a434c59534f65a0f9d391c55961eb110d.
Fixes #39928.
Replaces #39954.

bus-wait-for-jobs: assign unique error code from service result

hwdb: sensor: Remove Lenovo IdeaPad D330 accel mount matrix

Reading values from iio-sensor we are getting bad values. This matrix was added because the panel was a vertical one but the normal position is horizontal and the sensor is not bad oriented.

Removing the matrix ensure we have correct orientation values and prevent from misleads where the incorrect values we were getting messed up.

For example mutter actually is setting incorrect screen rotation for devices with panel orientation quirks.

I'm pretty sure that there are more devices where we have incorrectly "corrected" the sensor values when the only problem was the panel orientation.

Signed-off-by: David Santamaría Rogado <howl.nsp@gmail.com>

hostname: explain a bit why hostnames should be single DNS labels, not fqdns

resolve: always read /etc/resolv.conf on reload systemd-resolved

When systemd-resolved is used in resolv.conf foreign mode, reloading the
systemd-resolved daemon does not read resolv.conf when not touched since
the last time resolved read the file. Since the DNS servers list is
flushed during a reload, resolved forgets about the servers
in /etc/resolv.conf

When reloading the daemon it is expected that all configuration is
reloaded regardless of the disk timestamps.

boot: handle empty initrd files (#40040)

Commit f8fa4222c9ac3e74e91c64e25e9532c99559cf99 added extra logic to
account for the size of the initrds before allocating the required memory pages,
but missed checking if the initrds were empty before allocating memory.

Extend the initrd options only when the initrd is valid, and add extra
check for validating that there is at least one valid initrd file before
allocating memory, fixing the following crash when booting with empty
initrd files:

src/boot/log.c:30@efi_assert: systemd-boot: Assertion
 'BS->AllocatePages(type, memory_type, n_pages, &addr) == EFI_SUCCESS'
failed at /usr/src/debug/systemd-boot/257.8/src/boot/util.h:95@xmalloc_pages, halting.

Fixes: f8fa4222c9ac3e74e91c64e25e9532c99559cf99
("boot: Make initrd_prepare() semantically equivalent to combine_initrds()")

bus-wait-for-jobs: do not say "Unexpected job result" when job is simply failed

bus-wait-for-jobs: use SYNTHETIC_ERRNO()

Since 0d91a204cb78d692f23e80d3a08f9b81ecad753a, we always logs
something. Hence, we can use SYNTHETIC_ERRNO().

bus-wait-for-jobs: fix quiet argument for log_job_error_with_service_result()

The argument 'quiet' is a boolean, not a integrer and not a log level.

Follow-up for 0d91a204cb78d692f23e80d3a08f9b81ecad753a.
Fixes #40030.

po: Translated using Weblate (Slovenian)

Currently translated at 100.0% (264 of 264 strings)

Co-authored-by: Martin Srebotnjak <miles@filmsi.net>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/main/sl/
Translation: systemd/main

tar-util: allow to build without libacl support

Fixes #39928.
Follow-up for 4ded7f7a434c59534f65a0f9d391c55961eb110d.

tar-util: allocate ACL entry only when necessary

Follow-up for 4ded7f7a434c59534f65a0f9d391c55961eb110d.

acl-util: define minimal types and constants even when acl support is disabled

udev-builtin-net_id: fix construction of USB specifier-based names

Commit 0bac1ed242 ("tree-wide: Fix constness issues with newer glibc")
split a temporary var in get_usb_specifier to const and non-const
versions, but missed converting a couple of uses. This means we get
names of with components of:

 port: uN
 config: cC.I
 interface: iC.I

instead of:

 port: uN
 config: cC
 interface: iI

This results in net names like enu1c1.0i1.0, as we also no longer hit
the config==1 and interf==0 elision cases.

Change the config portion handling to start from the correct position,
and the earlier check for NULL.

test: use -force with unsquashfs for test reruns

In case a test is reran or a directory reused, overwrite it
instead of failing

shell-completion: fix portablectl path completion with preceding params

The completion fails to complete to paths for verbs that need them when
a --param is the previous word, e.g.:

portablectl attach --runtime <tab>

fails to complete to paths

ukify: prefer compression.zstd when available

Python 3.14 introduced support for zstd in the standard library [1].  Therefore,
let's prefer it when available to decrease the number of necessary  external
dependencies.

[1] https://docs.python.org/3/whatsnew/3.14.html#whatsnew314-zstandard

find-esp: consistently quote paths in log messages

find-esp: replace assert by a runtime check

The path--as a whole--is no longer being opened with O_DIRECTORY, hence
the assertion is not valid.

Reproducer:
 # SYSTEMD_RELAX_ESP_CHECKS=1 bootctl list --esp-path=`pwd`/README
 Assertion 'S_ISDIR(sxa.stx_mode)' failed at src/shared/find-esp.c:295, function verify_fsroot_dir(). Aborting.

Follow-up-for: 63105f33edad423691e2d53bf7071f99c83799ba

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=2417917

meson: a variety of build portability fixes (#40012)

This is for packaging systemd in Chimera Linux, which uses BSD-style
userland tools, alongside musl.

portabled: list new methods in D-Bus policy

Access to these methods is also managed via polkit,
but they were never added to the access list in the
D-Bus policy.

Follow-up for 907952bbc92dd6656807d9b2eb0d0c94a4c9e865

vcs-tag.sh: use portable sed argument order

meson: try BSD-style date(1) for alt_time_epoch as a fallback

If we fail to calculate alt_time_epoch using the GNU-style syntax,
try if BSD-style syntax does not work. Fail for real if that does
not work either.

meson: try BSD-style stat(1) syntax when failing mtime check

The system may be using a stat(1) implementation that follows
BSD-style syntax. Try that as a fallback, but do fail for real
if that also fails.

meson: drop ln --relative check

The coreutils release that included this was in 2012. Since then,
systemd requires a newer meson, mostly uses install_symlink, and
so on. Additionally, where it does use this feature, it uses the
'-r' short flag. There are implementations of 'ln' that do have
support for '-r' but no longopts. Things will still work on those
but this check will fail.

tests: also add qemu shutdown trace debug logs to integration script

Again to chase https://github.com/systemd/systemd/issues/38240
as suggested on QEMU's matrix channel

hwdb: add Magic Trackpad v2 USB-C (2024) to quirks (#40032)

Without being marked as an external trackpad the palm rejection triggers
too easily. Tested with a local hwdb rule.

test-network: drop unused variable

Follow-up for e2fbcee030ca13db252105b00b89af13591e4465

tests: some more logs to try and get info about VM spurious reboots (#40028)

https://github.com/systemd/systemd/issues/38240 keep happening, trying
to get more info

machine: Fix hardcoded /var/lib/machines paths

tests: run qemu with cpu_reset,guest_errors debug messages

Attempt to gather more information to debug https://github.com/systemd/systemd/issues/38240

tests: log when qemu crashed and the test is re-ran

Follow-up for 0d7f5a9ae6f5fc70c5ad23398c2b7a515e9b1982

Update mkosi reference and drop use of deprecated RuntimeScratch=/--runtime-scratch= (#40016)

import: include unistd.h for pipe2

This is needed for e.g. pipe2 and unlinkat and a build failure
is reproducible when libarchive support is disabled.

mkosi: RuntimeScratch=/--runtime-scratch= are deprecated

See https://github.com/systemd/mkosi/commit/054d0690b08afa6163b53ad2dca0e1374e9069f7

mkosi: update mkosi commit reference to 5a476a92deca8ad54869e5d416217aa1bb137b25

* 5a476a92de Use Path.relative_to instead of Path.parts
* 03f41faf9f Update doc for mkosi ssh to mention sd v256 sshd-vsock
* e054976d18 Rewrite note on fw deps of kernel modules in manpage
* a046243a50 Add python3-pefile to fedora tools conf
* 0bab54087e Fix truthy condition
* 01c38544b2 code review
* 563dca41da code review
* 6074d14c0e code review
* 7e842db3b1 Don't discard ordering of include/exclude entries in KernelModules=
* 0047b64785 build(deps): bump github/codeql-action from 4.31.2 to 4.31.6
* f13325bc4b build(deps): bump actions/checkout from 5.0.0 to 6.0.0
* 9ac31d1795 Add zram and nfnetlink to default initrd
* 4bdb47b6da verity: copy signing certificate to /usr/lib/verity.d/
* 8865afde9e Improve manpage output using pandoc lua filter (#4005)
* a425313c58 Pass environment to systemd-sysusers invocation
* 23f09d5de7 Make Ruff check for dangling whitespace
* abeed73d13 qemu: Add missing sandbox
* a05872e523 Ssh=yes maps to Ssh=always, update the manpage
* 79489534ca Warn of mkosi's sshd lacking support in distros' SElinux policy
* 696f99da43 Manpage: Update supported output formats
* 21675c4822 Silence swtpm SHA1 signature deprecation warning
* df53510982 DOC: update Ssh= to note sd-v256+ already generates sshd-vsock
* 50ccef7926 Configure default tools tree with ToolsTree=yes
* 0b701c690d opensuse: do not install openSUSE-release for Leap >= 16.0
* 4bababf421 opensuse: fix mirror URL for Leap >= 16.0
* c43123398c config.py: add config_default_proxy_exclude()
* 07a0a2be67 installer: Only mount configured state subdirs into sandbox
* d5efbf6f8c build(deps): bump github/codeql-action from 3.30.5 to 4.31.2
* 2912ed20d5 PTY forward fixes
* 66dab75259 sandbox: Drop all capabilities that don't make sense in userns
* 8fe5df4400 Respect SYSTEMD_TINT_BACKGROUND and SYSTEMD_ADJUST_TERMINAL_TITLE
* b9d208789d log: Drop konsole hack
* 7fa6eac65c Clarify that mkosi.images is not picked up in mkosi.conf.d
* 08a0f768dd vmspawn: Support BindUser=
* c7c3eaee4e mkosi-vm: Enable universe repository for ubuntu in mkosi-vm
* 688e77f1a8 vmspawn: Use --grow-image
* c47b7fe57b arch: Switch to the newly established fastly mirror
* 7db8f2cda3 Match compressed pacman packages too
* e3b3b93c50 Prevent using Overlay=yes with Format=portable
* 83a25324b3 Make sure apt sources are installed when BaseTrees= is in the mix
* f6fa2fd6a0 test: add unit tests for parents_below() utility function
* 1eafbd8d03 Don't print newlines in stash_terminal_title()
* bbaf92b50e Don't print newline after ansi sequences
* d1b84f5fb3 Look for .sdmagic before we consider a PE binary a UKI/addon
* b4efdbf14e Treat /opt the same as /usr for the sandbox
* 71ffced0f1 Rework PACKAGE_GLOBS to be a PackageManager classmethod
* 29605c2757 Various SPDX and whitespace fixes

test: several fixlets/workarounds for supporting postmarketOS (#39905)

logind: fix initial button state is not fetched when device is registered late (#39978)

If buttons that are not initialized from manager_startup() due to still
being processed by udev, the initial state is not checked. (commit
405be62f05d76f1845f347737b5972158c79dd3e)

This caused a problem which initial "close" state being not recognized
if lid switch of some system getting initialized later.

test-network: fix invalid captive portal URL with dnsmasq 2.92 (#40011)

dnsmasq 2.92 started converting binary content to ascii so the previous
invalid URL is no longer invalid as it's escaped.

So the test started failing: https://bugs.debian.org/1122015

Use a '|' character instead, which is not a valid URL character but it's
also not escaped by dnsmasq.

Follow-up for 1219391c9fa74568e4c60ee6b495e74887ab448f

test-execute: support case that the games user in multiple groups

On Alpine/postmarketOS,
```
$ id -nG games
games users
```

integration-test: skip several test cases when nss module is not supported