ssh-generator: tweak comments

Three new sd-event features + various fixes (#39608)

log-context: Don't add log context if value is NULL

This avoids if conditions at the callsite which mess up stack based
lifetimes.

basic-forward: Add WaitFlags forward decl

sd-event: Make sure iterations of defer and exit sources are updated

Defer and exit event sources are marked pending once when they are added
and never again afterwards. This means their pending_iteration is never
incremented after they are initially added, which breaks fairness among
event sources with equal priority which depend on the pending_iteration
variable getting updated in source_set_pending(). To fix this, let's assign
iterations for defer and exit sources in source_dispatch() instead so that
those get their pending_iteration updated as well.

sd-event: Add exit-on-idle support

Sometimes it's hard to assign responsibility to a specific event source
for exiting when there's no more work to be done. So let's add exit-on-idle
support where we exit when there are no more event sources.

run0: Make --same-root-dir available for run0

This enables running something like
"mkosi box -- run0 --empower --same-root-dir -E PATH" to get an
empowered session as the current user within the "mkosi box" environment.

sd-event: Allow passing WNOWAIT to sd_event_add_child()

This allows doing the reaping outside of the callback, we'll use this
when adding fibers in a later commit.

sd-event: Drop faulty shortcut

We can't take this shortcut, as we might have to drop the
EPOLLONESHOT flag for some event sources, so drop the shortcut.

sd-event: Only register memory presure if write buffer size is zero

As documented in sd_event_add_memory_pressure(), we can only add
the memory pressure fd to epoll once we've written the watch string,
so make sure we don't register the memory pressure in
event_source_online() until we've written the watch string.

sd-event: Mark post sources as pending after dispatching

More post event sources might get added during dispatching, we want
to make sure those become pending as well if we're dispatching a non-post
event source.

test-cgroup-util: Skip test on ESTALE

The kernel converts a bunch of errors to ESTALE in the open_by_handle_at()
codepath so we treat it as missing privs but it could be absolutely
anything really.

test-rm-rf: Check capabilities

The assertion will succeed if we have the right capability, causing the
test to fail.

test-id128: Check capability instead of uid

integritysetup: Add support for hmac-sha512 and wrapped key HMAC algorithms phmac-sha256 and phmac-sha512 (#39719)

Currently the only supported integrity algorithm using HMAC is
`hmac-sha256`. Add `hmac-sha512` to the list of supported algorithms as
well.

Also add the `PHMAC` integrity algorithm to the list of supported
algorithms. The `PHMAC` algorithm is like the regular HMAC algorithm,
but it takes a wrapped key as input. A key for the `PHMAC` algorithm is
an opaque key blob, who's physical size has nothing to do with the
cryptographic size. Such a wrapped key can for example be a HSM
protected key. Currently PHMAC is only available for the s390x
architecture (Linux on IBM Z).

Support for PHMAC has just been added to the cryptsetup project via MR
https://gitlab.com/cryptsetup/cryptsetup/-/merge_requests/693 by commit

https://gitlab.com/cryptsetup/cryptsetup/-/commit/296eb39c60bd85228930caaea4bb1d2a766b7544

To allow automatic opening of integrity protected volumes that use PHMAC
via `/etc/integritytab`, this change in systemd's integritysetup tool is
needed as well.

sd-dhcp-server: Add Hostname= option to static leases

This adds a new `Hostname=` option to the [DHCPServerStaticLease]
section in .network files, allowing an administrator to assign a
specific hostname to a client receiving a static lease.

We automatically select the correct DHCP option to use based on the
format of the provided string:

- Single DNS labels are sent as Option 12.
- Names with multiple DNS labels are sent as Option 81 in wire format.

Fixes: #39634

musl: add several missing symbols (#39701)

Three follow-ups for recent changes (#39724)

stdio-bridge: remove unreachable return

run: refuse --root-directory= in --scope mode

As discussed in #39669, let's reject this for now.

efivars: insert a newline below fstat() call

musl: add several missing statx macros

glibc's sys/stat.h includes linux/stat.h, and we have copy of it from
the latest kernel, hence all new flags are always defined.
However, musl's sys/stat.h does not include linux/stat.h, and moreover,
they conflict with each other, hence we cannot include both header
simultaneously. Let's define missing macros to support musl.

musl: add missing FTW_CONTINUE macro

This is to avoid build failures like below for musl.

  test-recurse-dir.c:23:24: error: ‘FTW_CONTINUE’ undeclared

Co-authored-by: Yu Watanabe <watanabe.yu+github@gmail.com>

musl: replace netinet/if_ether.h with our own implementation

musl's netinet/if_ether.h conflicts with linux/if_ether.h.
The reimplementation is mostly equivalent with what glibc does.

musl: provide several missing definitions for prctl()

musl: introduce dummy function for gnu_get_libc_version()

As the header gnu/libc-version.h and gnu_get_libc_version() function
are glibc specific, and musl does not provide them.

musl: introduce dummy functions for mallinfo(), malloc_info(), and malloc_trim()

These functions are not provided by musl.

musl: introduce dummy gshadow header file for userdb

Even 'gshadow' meson option is disabled, src/shared/userdb.c and
src/shared/user-record-nss.c include gshadow.h unconditionally.
Let's introduce dummy header to make them compiled gracefully.

hwdb: add entry for Acer Switch One 10 (SW1-011) (#39716)

Add the correct rotation for Acer Switch One 10 (SW1-011)

gpt-auto-generator: fix typo in crypttab option name

Spotted while debugging a ParticleOS build:

```
Nov 13 14:44:32 localhost systemd-cryptsetup[591]: Encountered unknown /etc/crypttab option 'tpm2-measure-slot-nvpcr=cryptsetup', ignoring.
```

Follow-up for e5a2e7866572614e66cbf6c1d3969128562d9552

musl: test: several random fixlets for unit tests

core: record transactions that have seen ordering cycles and expose them via IPC (#39210)

Closes #3829.

Make systemd stdio bridge quiet (#39718)

efivarfs readv() size fixes and more (#39715)

Fixes: #39695

tree-wide: assorted fixes/workarounds for supporting musl (#39687)

integritysetup: Add PHMAC algorithm to list of known algorithms

Add the PHMAC integrity algorithm to the list of supported algorithms.

The PHMAC algorithm is like the regular HMAC algorithm, but it takes a wrapped key
as input. A key for the PHMAC algorithm is an opaque key blob, who's physical size
has nothing to do with the cryptographic size. Currently PHMAC is only available
for the s390x architecture.

sd-bus: Pass --user and --quiet to systemd-stdio-bridge if local

If we're switching users but not entering a container, then we can
assume that new switches for systemd-stdio-bridge are available, so
make use of them in that case.

stdio-bridge: Fix --user

If --user was specified we would still try to use the system bus
address.

stdio-bridge: Add --quiet option

When we use stdio-bridge via sd-bus to connect to a bus of a different
user, container or host, stdio-bridge should not log at error level but
at debug level as it's invoked by the sd-bus library and sd-bus should
generally not log above debug level.

We can't actually use the --quiet option yet as that would break connecting
to hosts running older versions of systemd but let's already add the option
now in preparation for a brighter future.

bus-wait-for-jobs: Make sure we always debug log

If we're not logging at a higher priority level, let's still log
at debug log level to help with debugging.

shared: Forward declare InstallChange in shared-forward.h

tree-wide: fix lseek() parameter order

The offset must be specified first, 'whence' second. Fix that.

Except for one case this fix doesn't actually fix any real bug, since
SEEK_SET is defined as 0 anyway, hence the swapped arguments have no
effect.

The one exception is the MTD smartmedia code, which I guess indicates
that noone has been using that hw anymore in a long time?

efivars: seek back to beginning in each efi_get_variable() loop

We try to read again from the beginning, hence let's seek back.
Apparently efivarfs doesn't strictly require this, but it's really weird
that it doesn't.

efivars: validate we are actually talking about a regular file

We already have the stat data, let's actually check if things are
alright before relying on .st_size

efivars: fix size checks in efi_get_variable()

writev() returns the full size, not just the payload size, hence always
add sizeof(attr) where necessary.

Let's also change a couple of "4" into sizeof(attr) all over the place,
to make clear what they are about.

Fixes: #39695
Follow-up for: 9db9d6806e398465a6366dfc5bdde2e24338ac29

efivars: don't bother with realloc() if we have no interest in the old data

We shouldn't ask glibc to keep the old data around (which realloc() is
about), given we overwrite it entirely anyway. Let's hence speed things
up here, and allow glibc to just allocate a new block for us (and
shorten the code a bit)

integritysetup: Add support for hmac-sha512

Currently the only supported integrity algorithm using HMAC is 'hmac-sha256'.
Add 'hmac-sha512' to the list of supported algorithms as well.

Make journal persistent by default (#39624)

See second commit for details.

test: use new macros and move several test cases (#39708)

time-util: do not carry musl-specific fallback logic on glibc systems

Follow-up for 3ac4d68498dd378e2b3acd2bb86f4700263532d0

We have no sensible way to detect why strptime() fails, hence
the fallback path as it is now would fire on glibc systems too,
pointlessly. Let's guard it behind ifdeffery.

user-util: fix typo

Follow-up for b10fd796f56e4f16f7430cd22f59f544766d3bef.

test: move several test cases to test-tmpfile-util.c

test: move several test cases to test-env-file.c

test-fileio: migrate to use new ASSER_OK() macro and friends

This also replaces fgets() with read_full_file().

mkosi: update debian commit reference to efdd7a6377c7251011ca2c1a59115d482d25fe61

* efdd7a6377 Install new file for upstream build
* 9ebdc6099e d/rules: enable 10-systemd-logind-root-ignore-inhibitors.rules.example on Ubuntu
* 1255cc7663 initramfs-tools: only skip chzdev rules if zdev_early=0
* 4675b281ee d/t/boot-and-services: skip apparmor test on armhf
* 214d6e37b2 d/t/boot-and-services: run transient unit to check syslog messages
* f4e196aa26 d/t/boot-and-services: tweak test_rsyslog regex
* dbd366a43e Install new files for upstream build
* bb7f8ef532 Install new files for upstream build
* efa7cee8a7 Install new file for upstream build
* 95aa1d1685 Install new file for upstream build
* b770f0f01b kernel-install: skip 55-initrd.install when an initrd generator is configured
* af8d1e3134 Update changelog for 258.1-2 release
* 2d0e73cd14 d/libnss-systemd.postinst: Ensure module is enabled for all four databases

journald: do not allow persistent journal storage in the initrd

If the user managed to configure persistent storage in the journal
in the initrd, e.g. by creating /var/log/journal with default of 'auto',
we could end up writing entries there. Let's make sure this doesn't
happen.

meson: make persistent journal the default

journald: allow default storage mode to be configured

So far the idea was that the default is 'auto', and if appropriate, the
distribution will create /var/log/journal/ to tell journald to use persistent
mode. This doesn't work well with factory resets, because after a factory reset
obviously /var/log is gone. That old default was useful when journald was new
and people were reluctant to enable persistent mode and instead relied on
rsyslog and such for the persistent storage. But nowadays that is rarer, and
anyway various features like user journals only work with persistent storage,
so we want people to enable this by default. Add an option to flip the default
and distributions can opt in. The default default value remains unchanged.

(I also tested using tmpfiles to instead change this, since we already set
access mode for /var/log/journal through tmpfiles. Unfortunately, tmpfiles runs
too late, after journald has already started, so if tmpfiles creates the
directory, it'll only be used after a reboot. This probably could be made to
work by adding a new service to flush the journal, but that becomes complicated
and we lose the main advantage of simplicity.)

Resolves https://bugzilla.redhat.com/show_bug.cgi?id=1387796.

man: stop inventing custom entity names for docbook

For some reason, the entity names configured in custom-entities.ent
used abbreviated names. This just creates unnecessary confusion, so update
to use the same name as the config dict.

Reword some surrounding sentences while at it.

meson: make journald.conf templated

A noop, in preparation for subsequent changes.

musl: format-util: use %llu for formatting rlim_t

glibc uses uint32_t or uint64_t for rlim_t, while musl uses unsigned long long.

musl: build-path: fix reading DT_RUNPATH or DT_RPATH

musl records DT_STRTAB as offset, rather than address. So, need to add
obtained bias to read runpath or rpath.

musl: core: there is one less usable signal when built with musl

musl internally reserves one more signal, hence we can only use 29
signals.

musl: avoid multiple evaluations in CPU_ISSET_S() macro

musl's CPU_ISSET_S() macro does not avoid multiple evaluations, and it
only accepts simple variable or constant.

Fixes the following error.
```
../src/shared/cpu-set-util.c: In function ‘cpu_set_to_mask_string’:
../src/shared/cpu-set-util.c:101:41: warning: operation on ‘i’ may be undefined [-Werror=sequence-point]
  101 |                         if (CPU_ISSET_S(--i, c->allocated, c->set))
      |                                         ^
```

musl: hostname-util: introduce LINUX_HOST_NAME_MAX

glibc defines HOST_NAME_MAX as 64 and our code rely on that, but musl
defines the constant as 255. Let's provide our own definition for the
maximum length.

man: fedora 43 is the latest stable

docs/BACKPORTS: update

We now keep stable branches in the main repo. Update the description
to match current practice.

Closes https://github.com/systemd/systemd/issues/35846.

TEST-03-JOBS: add test for TransactionsWithOrderingCycle

core: expose transactions with ordering cycle

Closes #3829
Alternative to #35417

I don't think the individual "WasOnDependencyCycle" attrs on units
are particularly helpful and comprehensible, as it's really about
the dep relationship between them. And as discussed, the dependency
cycle is not something persistent, rather local to the currently
loaded set of units and shall be reset with daemon-reload (see also
https://github.com/systemd/systemd/issues/35642#issuecomment-2591296586).

Hence, let's report system state as degraded and point users to
the involved transactions when ordering cycles are encountered instead.
Combined with log messages added in 6912eb315fabe0bbf25593ab897265fa79a7e24b
it should achieve the goal of making ordering cycles more observable,
while avoiding all sorts of subtle bookkeeping in the service manager.
The degraded state can be reset via the existing ResetFailed() manager-wide
method.

core: record transactions that have seen ordering cycles

core/transaction: assign unique ids to transactions and encode them in log

Preparation for later commits, but I think this one makes
a ton of sense on its own. When debug logging is enabled
it's otherwise difficult to dig up the portion of journal
for transaction construction.

core/manager-serialize: minor coding style cleanups

boot: coding style cleanups

musl: avoid conflict between fcntl.h and basic-forward.h

glibc defines AT_FDCWD as -100, but musl defines it as (-100).
In basic-forward.h, we also define AT_FDCWD as -100, hence musl's fcntl.h
conflicts with forward.h. This is for avoiding the conflict.

time-util: several fixlets/workarounds for supporting musl (#39688)

sd-journal: fix relative path handling (#38681)

Fixes #38667.

core/dbus-service: validate type of received ExecContext fds (#39680)

meson: add musl support (#39686)

musl: meson: gracefully disable gshadow, nss, and idn support

- musl does not support gshadow, and does not provide gshadow.h,
- musl does not support nss, and does not provide nss.h which is necessary
  for each nss modules,
- musl does not provide NI_IDN.

musl: meson: check existence of renameat2()

musl-1.2.5 does not provide renameat2(). Note, it is added by
https://github.com/kraj/musl/commit/05ce67fea99ca09cd4b6625cff7aec9cc222dd5a,
hence hopefully it will be provided by musl-1.2.6 or newer.

musl: meson: make musl not define wchar_t in their header

Otherwise, musl defines wchar_t as int, which conflicts with the
assumption by sd-boot, i.e. wchar_t is 2 bytes.

Fixes the following build error:
```
In file included from ../src/boot/efi-log.h:4,
                 from ../src/boot/linux_x86.c:13:
../src/boot/efi.h:19:24: error: conflicting types for 'wchar_t'; have 'short unsigned int'
   19 | typedef __WCHAR_TYPE__ wchar_t;
      |                        ^~~~~~~
In file included from /usr/include/stddef.h:19,
                 from ../src/boot/efi.h:9:
/usr/include/bits/alltypes.h:10:13: note: previous declaration of 'wchar_t' with type 'wchar_t' {aka 'int'}
   10 | typedef int wchar_t;
      |             ^~~~~~~
```

musl: meson: explicitly set _LARGEFILE64_SOURCE

glibc sets it when _GNU_SOURCE is defined, however, musl does not.
Let's explicitly define it to make getdents64() and struct dirent64
available even when building with musl.

musl: meson: explicitly link with libintl when necessary

On some musl based distributions dgettext() may be provided by libintl.so.
Hence, we need to add dependency in that case.

musl: meson: allow to choose libc implementation

This also introduces skeleton directories for storing musl specific code.

test-varlink: Migrate to new assertion macros

run0: Never ask --empower sessions for polkit auth

A --empower session is effectively root without being UID 0, so it
doesn't make sense to enforce polkit authentication in those. Let's
add the empower group, add --empower sessions to that group and ship
a polkit rule to skip authentication for all users in the empower
group.

(As a side-effect this will also allow users to add themselves to this
group outside of 'run0 --empower' to mimick NOPASSWD from sudo)

musl: test-time-util: skip parsing back when currently unused timezone is set

musl: time-util: skip tm.tm_wday check

musl does not set tm_wday when it is explicitly requested.
The check is not necessary at all, it is just for safety.
Let's skip it when built with musl.

musl: time-util: introduce get_tzname() helper function

musl leaves the DST timezone name unset if there is no DST.
The helper function maps that back to no DST.

musl: time-util: make parse_gmtoff() accept extended timezone offset format

musl v1.2.5 does not support %z specifier in strptime(). Since
https://github.com/kraj/musl/commit/fced99e93daeefb0192fd16304f978d4401d1d77
%z is supported, but it only supports strict RFC-822/ISO 8601 format,
that is, 4 digits with sign (e.g. +0900 or -1400), but does not support
extended format: 2 digits or colon separated 4 digits (e.g. +09 or -14:00).
Let's add fallback logic to make it support the extended timezone spec.

Migrate various tests to new assertion macros (#39691)

Split out of #39608

core/dbus-service: validate type of received ExecContext fds

logind-session-dbus: use fd_vet_accmode() where appropriate

test-fd-util: add unit test for fd_vet_accmode()

Co-authored-by: Chris Down <chris@chrisdown.name>

fd-util: introduce fd_vet_accmode()

Inspired by #39674

sd-journal: resolve paths passed to sd_journal_open_files() and friends

Fixes #38667.

sd-journal: use -EBADF for invalidated file descriptor

test-rm-rf: Migrate to new assertion macros

test-bus-chat: Migrate to TEST() and new assertion macros

- Also contains various other small cleanups

test-bus-watch-bind: Migrate to new assertion macros