and more build fixes

Don't apply body restrictions to xlat calls

more build fixes

clang on OSX does not produce nearly enough errors.

CI produces many more errors and complaints.

First pass at bio handlers.

The FD bio works.  The others are "compile tested"

we don't need these fields.  The bio code has been updated

start moving more code to centralized RADIUS library

document source of fast rng

Rename json xlat functions

call the correct function

t_rules may be NULL. CID 1558812

just trust /dev/random

there's little utility in mixing in other data

minor cleanups

rename functions for clarity

in preparation for allowing forced seeds

no need to call encode / sign / write.  just call fr_radius_send()

Revert to main eapol_test repo

We only pull from the repo if we don't have a cached copy, so don't pull
very often.

Invalid comment

Don't reallocate the uri escape ctx on every request

Major rework in rlm_rest

- Remove all synchronous expansions.  data, uri, username, password are now passed in as a call_envs
- Perform uri escaping within call_env evaluation for module section calls
- Split config items into request/response sections, and document which config items can't be used as xlats
- Remove legacy uri expansion and escaping
- Have test json-api endpoints echo back headers, args, and body data, and fix up xlat tests to check what we sent over
- Start of response header parsing and output
- Support taking body data, and headers, from ANY tmpl type not just xlats

Remove orphaned params

Make fr_uri_escape work as a value box escape function

No major changes here, we just record the current uri_part in a new fr_uri_escape_ctx_t struct.  The original function is retained as fr_uri_escape_list which processes a list of value boxes.

Don't crash when decoding empty base64 strings

Add "secret" call_env flag.  Not currently respected because we don't print anything, but we don't want to lose the secret flag during conversions

Wordsmithing

Better assert message for bad quoting type

Add support for ephemeral uctx initialisation

Allow escape functions to return error codes

Don't print out certificate messages if there are no certificates

Make the openresty setup script work on macOS with homebrew

Remove dead code (CID #1504016)

In fr_value_box_from_substr(), the first switch on dst_type handles
the FR_TYPE_COMBO_IP_{ADDR, PREFIX} cases, so that dst_type can't
have those values when the second switch on dst_type is executed.

Remove un-used module option

Debian sid has removed fakeroot from build-essential

Correct documentation

Better English

Reduce boilerplate

Remove legacy sqlippool single letter expansions

Ensure IP updated is from the correct pool

In case IPs exist in more than one pool.

Remove use of %I expansion from sqlippool queries

sqlite3_prepare functions prepare only the next query in the string

and return a pointer to the character after what was parsed - so this
provides a more robust method of parsing the SQL to execute than simply
looking for ';' followed by '\n' or '\0'.

E.g. if there are comments which end the line with a ';' that fails with
the old parsing.
In addition, if there were ';' in data inside a string, the previous
parsing would have thrown away the portion of the string before that.

Use method names consistent with rlm_redis_ippool

Ensure values are strings before attempting SQL escaping

always set event list.  Should help with #5270

add FreeRADIUS VSA for Acct-Unique-Session-Id

Hoist some fr_radius_ok() calls above decode() (CID #1544988, #1503910)

This should make show coverity that the packet and length are
validated before being passed to decode().

Tweak mod_read() range check on packet code (CID #1419883?)

buffer[0] is used as index into fr_radius_packet_names[], so
allowing FR_PACKET_CODE_MAX will fall off the end. This may
placate coverity, but I believe it is needed in any case.

Make IN_RANGE_INTEGER_*() nontrivial iff it can actually fail (CID #1445201)

The range check can only fail if PTRDIFF_MAX < INT64_MAX. Since
that's not the case for the Coverity run, you get a defect of the
result_independent_of_operands flavor, just like the range checks
for fr_sbuff_out_[u]int64() used to.

The floating point version, I believe, will notice +/-infinity
and denormalized numbers, so Coverity wouldn't complain about it.

Start converting remaining unlang function calls to new syntax

Try to make coverity recognize range check on len (CID #1448182)

Deal with remaining toctou defect (CID #1503910)

src/modules/rlm_python: fix build with -Ofast

Stripping logic wrongly translates -Ofast into ast resulting in the
following build failure:

configure: /home/fabrice/buildroot/output/host/powerpc64-buildroot-linux-gnu/sysroot/usr/bin/python3-config's cflags were "-I/home/fabrice/buildroot/output/host/powerpc64-buildroot-linux-gnu/sysroot/usr/include/python3.11 -I/home/fabrice/buildroot/output/host/powerpc64-buildroot-linux-gnu/sysroot/usr/include/python3.11  -Wsign-compare -D_LARGEFILE_SOURCE -D_LARGEFILE64_SOURCE -D_FILE_OFFSET_BITS=64  -Ofast -g0 -D_FORTIFY_SOURCE=2 -DNDEBUG -g -fwrapv -O3 -Wall"
configure: Sanitized cflags were " -isystem/home/fabrice/buildroot/output/host/powerpc64-buildroot-linux-gnu/sysroot/usr/include/python3.11 -isystem/home/fabrice/buildroot/output/host/powerpc64-buildroot-linux-gnu/sysroot/usr/include/python3.11   -D_LARGEFILE_SOURCE -D_LARGEFILE64_SOURCE -D_FILE_OFFSET_BITS=64  ast  -D_FORTIFY_SOURCE=2 -fwrapv  "

[...]

powerpc64-buildroot-linux-gnu-gcc.br_real: error: ast: linker input file not found: No such file or directory

Fixes:
 - http://autobuild.buildroot.org/results/904c43241b99a8d848c1891cb5af132a291311b4

Signed-off-by: Fabrice Fontaine <fontaine.fabrice@gmail.com>

Setting local variables from mapping sections does seem to work...

lowercase.  Manual port of 8f4fcd3dc4

Quote parameter of ldap.memberof

Attempt to fix test_condition_levels_max() issue

test_condition_levels_max() seemingly randomly fails the check for
preq_a->{completed, freed} being true. It happens to work locally,
so submitting to try to provoke it again.

Previous trunk tests needed virtual time to pass to work, so we're
trying that here.

Annotate return when exfile_open() fails (CID #1206498, #1206499)

Unfortunately, this is in the callers of exfile_open(), not
exfile_open() itself. Coverity doesn't notice that the mutex
is unlocked in exfile_open() if it fails, and we haven't been
able to model it, hence the annotations.

Annotate missing unlock in connection_spawn() (CID #1414434)

Coverity insists on unlocking mutexes in the same function
invocation the lock occurs in, but there are times when you
want exclusive use of a resource and thus lock it on allocation
and free on release, hence the annotation.

Revise a couple of uses of FR_TYPE_STRUCTURAL

FR_TYPE_STRUCTURAL has a name of the same form as the values of
fr_type_t, but is carefully #defined so it can appear in a switch
statement looking like a single value but underneath expanding to
multiple cases, making some of its uses counterintuitive.

add missing '}'.  Fixes #5264

More Tmp- attribute removal from tests

Remove Tmp- attributes from unit tests

Use triggers to detect readiness for LDAP sync tests

Already working for rfc4533 - no reason they should have issues for
other directories.

Better failure messages

Remove Tmp- attributes from LDAP sync tests

Minimise number of LDAP connections starting

Add cookie to LDAP sync start debug

add "-t timeout" to radsniff

So that it will exit cleanly after a given timeout

unix sockets need permissions, uid, and gid

'by' is not a name component

Assign tmpl on heap for async expansion

Fix ldap-setup CI script

Decrease trunk management verbosity

add more debugging

use type (SOCK_STREAM or SOCK_DGRAM) instead of IPPROTO

fr_socket_t can allegedly describe unix sockets.  So let's get
started down that path.

we can transition init -> connected

for connected datagram sockets, connect() generally returns "OK"
immediately.

Missing cast

RPM Builder gets the deps wrong for openldap-ltb

Add support for escaping call_env results

Add async support to rlm_linelog

Allow call_env code to expand the header instead of doing it the legacy way

Ass escaping back

Stop processing isn't really correct here, and leads to spurious errors

don't use extra comma

add MS-CHAP-Use-NTLM-Auth := Auto

Set copy_on_update for redis_ippool tests

Works fine with tests now - and should be tested as it's the module
default.

Add tests of linelog failure paths

Use call_env for linelog format / reference tmpls

use $< and $@ for simplicity

Add group read permissions for certificates.

Manual port of 29add13

Recent versions of OpenSSL appear to create keys with owner-only
permissions. Allow owning group to read the created default files
in raddb/certs, so that they stay the same as with older OpenSSL, and
that the server can read its key, and the p12 / pem files.

Rearrange exec_timeout() to keep consistent error message

Install libyubikey for MacOS and FreeBSD tests

Correct debug macro

Add test of Yubikey decrypt

Attributes marked as secret are automatically hidden

Yubikey attributes are nested

Mark selected Yukikey attributes as secret

Update yukikey sample module to refelect nested attribute names

Remove Tmp- attributes from remaining module tests

Remove Tmp- attributes from perl module tests

And re-enable with nested attribute check temporarily disabled.

Remove Tmp- attributes from rest module tests

Remove Tmp- attributes from ldap module tests

Remove Tmp- attributes from json module tests

Remove Tmp- attributes from exec module tests

Remove Tmp- attributes from eap_sim module tests

Remove Tmp- attributes from client module tests