web: Accept all kwargs in clear_cookie

In some cases it is now required to pass matching values for
samesite and secure as when the cookie was set.

clear_all_cookies is now deprecated because the name of a cookie
is no longer reliably sufficient to clear it.

Fixes #2911

web: List all set_cookie arguments instead of kwargs

Multiple arguments needed special cases anyway, so it's better to
just be explicit about what's supported.

set_signed_cookie still uses kwarg forwarding since we don't need
to worry about the special cases at this level and using
explicit arguments would involve duplicating defaults in multiple
places.

web: Rename "secure_cookie" methods to "signed_cookie"

This more precisely states the kind of security that is provided, and
avoids confusion with the use of the word "secure" as a standard
cookie attribute and prefix.

Merge pull request #3220 from bdarnell/update-deps

Update all deps

Update tox to v4

Adapt to backwards-incompatible renaming.

Update most deps

Sphinx is pinned to <6 because of a conflict with sphinx_rtd_theme
Tox is pinned to <4 because we're affected by some backwards-incompatible
renamings in the config file.

Merge pull request #3219 from bdarnell/consolidate-requirements

Consolidate maint and docs requirements files

Consolidate maint and docs requirements files

This division was just complicating things unnecessarily.
Also adopt pip-tools instead of doing it all by hand.
No pinned versions have been changed in this commit.

Merge pull request #3218 from bdarnell/readthedocs-config

docs: Add config file for readthedocs

docs: Add config file for readthedocs

This moves away from web-based settings and permits per-release
changes.

Merge pull request #3214 from tornadoweb/bdarnell-patch-1

Create security policy document

Merge pull request #3204 from tornadoweb/dependabot/pip/docs/certifi-2022.12.7

build(deps): bump certifi from 2022.5.18.1 to 2022.12.7 in /docs

Create security policy document

Fixes #3099

build(deps): bump certifi from 2022.5.18.1 to 2022.12.7 in /docs

Bumps [certifi](https://github.com/certifi/python-certifi) from 2022.5.18.1 to 2022.12.7.
- [Release notes](https://github.com/certifi/python-certifi/releases)
- [Commits](https://github.com/certifi/python-certifi/compare/2022.05.18.1...2022.12.07)

---
updated-dependencies:
- dependency-name: certifi
  dependency-type: indirect
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #3213 from uniontech-lilinjie/master

fix typo

fix typo

Signed-off-by: lilinjie <lilinjie@uniontech.com>

Merge pull request #3212 from meramsey/patch-1

Update v6.2.0.rst

Update v6.2.0.rst

fix typo

Merge pull request #3208 from bdarnell/pin-tox

ci: Various dependency-related updates

ci: Skip python 3.12 for now

The breaking changes begun by the deprecation warnings in 3.10 have
arrived, but according to https://github.com/python/cpython/issues/93453
the scope has changed somewhat (for the better, I think). Don't test
on 3.12 until we've adapted to the new plan.

test: Catch error from get_event_loop in tearDown

test: More lenient check for localhost resolver test

A recent update to pycares appears to have made it return only
an ipv6 address for localhost.

ci: Install pinned version of tox

Merge pull request #3202 from bdarnell/lint-update

deps: Update linters

deps: Update linters

Merge pull request #3201 from bdarnell/lazy-import

all: Support lazy imports of submodules

all: Support lazy imports of submodules

A getattr hook in the top-level "tornado" package now imports submodules
automatically, eliminating the need to explicitly reference multiple submodules
in imports

Merge pull request #3200 from bdarnell/expectlog

testing: Deprecate environment-dependent behavior in ExpectLog

test: Skip undecorated coroutine test in py312

The standard library now has its own check for this, rendering ours redundant
(and breaking our test)

testing: Deprecate environment-dependent behavior in ExpectLog

ExpectLog is sensitive to the difference between tornado.testing.main
(which sets the logging level to info) and most other test runners,
which do not. In the future ExpectLog will match WARNING and above
by default; matching lower levels without using the ``level`` argument
is deprecated.

Fix one test in httpserver_test.py that is affected by this.

Merge pull request #3197 from bdarnell/pyversion-update

setup: Drop support for python 3.7

setup: Drop support for python 3.7

The main reason to drop this version before it reaches its EOL is so
that we can begin to use unittest.IsolatedAsyncioTestCase to replace
deprecated portions of the tornado.testing module.

A secondary reason is that Python 3.8 introduced support for the
samesite cookie attribute, which allows us to deprecate the
xsrf_token mechanism.

Merge pull request #3196 from bdarnell/pyversion-update

setup: Add Python 3.11 final and 3.12 alpha to CI

setup: Add Python 3.11 final and 3.12 alpha to CI

Adapts to the deprecation of multi-argument generator.throw().

Merge pull request #3193 from jakestambaugh/master

Add support for parsing lists of str in config files if multiple=True

Add support for parsing lists of str in config files

Merge pull request #3192 from jepperaskdk/master

Changed websocket message buffer from bytes to bytearray

Changed websocket message buffer from bytes to bytearray for performance increase

Merge pull request #3180 from tornadoweb/fix-lint

auth: Fix lint error (long line)

auth: Fix trailing comma and lint errors

This slipped in with #3137 because that PR was submitted at a time when
the CI config was broken and I didn't notice the incomplete run.

Fix contextvars.Context propagation to first yield with native coroutines (#3176)

* Fix contextvars.Context propagation to first yield with native coroutines

Merge pull request #3172 from takluyver/websocket-resolver

Allow custom resolver in WebSocketClientConnection

Merge pull request #3169 from anilbey/typing

add type-var ignore for the recently introduced mypy error

Merge pull request #3137 from frankdu/master

Google OAuth2: change oauth config provision from hardcoded to develo…

Merge pull request #3179 from tornadoweb/iostream-cleanup

iostream: Remove _read_buffer_pos attribute

iostream: Remove _read_buffer_pos attribute

Since PR #3087, this attribute is always zero (except for temporary
usage in _consume) and can be removed.

Merge pull request #3087 from laggardkernel/feature/cleanup-bytearray-shrink

Cleanup bytearray shrink code designed for Python 2

Merge pull request #3178 from reganto/patch-1

Fix URL plural

Fix URL plural

Merge pull request #3177 from spagh-eddie/patch-3

Fix typo in release notes

Fix typo in release notes

Allow custom resolver in WebSocketClientConnection

add type-var ignore for the recent mypy error

Bump version number on main branch to 6.3.dev1

Merge pull request #3167 from bdarnell/6.2-final

Set version number to 6.2.0

Set version number to 6.2.0

Closes #3165

Merge pull request #3163 from graingert/avoid-threading-identity

use get_running_loop to choose between call_soon and call_soon_thread…

Merge branch 'master' into avoid-threading-identity

Merge pull request #3164 from graingert/patch-1

make existing_loop check atomic

make existing_loop check atomic

use get_running_loop to choose between call_soon and call_soon_threadsafe

Merge pull request #3162 from bdarnell/6.2b2

Set version to 6.2b2

Set version to 6.2b2

Merge pull request #3161 from tornadoweb/build-workflow-abi3

setup: Build wheels with the stable ABI (abi3)

setup: Build wheels with the stable ABI (abi3)

This will produce cross-version wheels so we won't have to do
releases just to make new wheels when new versions of Python
are available.

Also modernize the build process a bit to require setuptools and use
the native "optional" flag for extensions.

Merge pull request #3160 from bdarnell/ioloop-docs

ioloop: Update docs for IOLoop constructor

ioloop: Update docs for IOLoop constructor

The constructor is not completely deprecated; the make_current=False
mode is still usable.

Fixes #3156

Merge pull request #3157 from minrk/explicit-asyncio-loop

Allow passing asyncio_loop argument to AsyncIOLoop

Merge pull request #3159 from minrk/deprecation-stacklevel

Add stacklevel to deprecation warnings

Add stacklevel to deprecation warnings

so warnings are associated with the line where the deprecated methods are called
rather than the line where the warning itself is

trailing comma?

black seems to have changed its mind

Prevent multiple IOLoops for one asyncio loop

Allow passing asyncio_loop argument to AsyncIOLoop

allows patterns of creating and explicitly passing the asyncio loop before creating IOLoop

For example: creating a loop with the non-default event loop policy without having to set the current policy

Merge pull request #3155 from graingert/patch-1

fix mulitple typo

fix mulitple typo

Do bytearray shrinking unconditionally in Python 3

build: Run build workflow on tags

Merge pull request #3154 from tornadoweb/build-workflow-publish

Set version number to 6.2, publish wheels via GH actions

build: Add pypi upload (non test) for tags

setup: Set readme content-type explicitly

Silences a warning when uploading to pypi.

build: Publish to testpypi via github actions

Set version number to 6.2b1

Merge pull request #3153 from bdarnell/relnotes62

docs: Release note updates

docs: Release note updates

Merge pull request #3152 from bdarnell/docs-reqs

docs: Bump requirements

docs: Bump requirements

Mainly to pick up a security fix in urllib3.

Merge pull request #3151 from bdarnell/relnotes62

Release notes for 6.2

Release notes for 6.2

Add the method to allow custom provision of OAuth credentails, while keeping the backwards compatibility

Google OAuth2: change oauth config provision from hardcoded to developer friendly, namely easier & clearer error tracing

Merge pull request #3136 from graingert/remove-unreachable-if-asyncio-checks

remove unreachable asyncio checks

Merge pull request #3150 from bdarnell/httpclient-docs

httpclient: Remove initialize method from docs

httpclient: Remove initialize method from docs

This method is not meant for public consumption; it is an
implementation detail of the construction-time magic for this class.
It was not intended to appear in documentation as if it is
the public constructor.

Fixes #3141

Merge pull request #3149 from bdarnell/deprecate-bind

tcpserver: Deprecate bind/start multi-process

tcpserver: Deprecate bind/start multi-process

This is partially a casualty of the Python 3.10 deprecation
changes, although it's also something I've wanted to do for other
reasons, since it's been a very common source of user confusion.

Fixes #2801

Merge pull request #3147 from bdarnell/docs62

docs,demos: Update for asyncio.run pattern

Merge pull request #3148 from bdarnell/listen-args

tcpserver,web: Pass more arguments through listen.

tcpserver,web: Pass more arguments through listen.

In particular, this makes it easier to use reuse_port.

docs,demos: Update for asyncio.run pattern

Adapt for Python 3.10 deprecation changes by using asyncio.run
instead of IOLoop.start throughout (except for TCPServer multi-process
docs).

Demos have all been changed but I haven't tested all of them.

Update tornado/ioloop.py