Merge pull request #16444 from romeroalx/add-workflow-check-pinning

gh actions: move check pinned python packages to a separate workflow

Merge pull request #16407 from romeroalx/fix-pip-pinning-0311

Update Python package pinning for setup_requires dependency pbr to version 7.0.3

Merge pull request #16446 from jsoref/contributing-ai-policy

docs: Mention AI Policy in contributing pull requests

docs: Mention AI Policy in contributing pull requests

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

Merge pull request #16445 from miodvallat/rm-of-the-day

dead code tells no tales

Remove dead code.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

gh actions: move check pinned python packages to verify-pinned-python-packages.yml

update-pinned-ver-python

Merge pull request #16438 from omoerbeek/rec-rm-deprecated

rec: remove options that were deprecated a long time ago

Merge pull request #16372 from rgacogne/ddist-regex

dnsdist: Properly handle invalid regular expressions

Merge pull request #16384 from omoerbeek/rec-cache-tcp

rec: remember if an answer was received over TCP in record cache

rec: remove options that were deprecated a long time ago

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

dnsdist: Document that `Regex` matches in a case-insensitive way

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #16434 from omoerbeek/rec-upgrade

rec: Update upgrade guide and correct version info for cookie support

Merge pull request #16376 from jsoref/bump-actions

Bump actions

Merge pull request #16229 from Habbie/luacontext-debug-object

store debug.traceback function before user can hide it from us

rec: Update upgrade guide and correct version info for cookie support

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #16426 from omoerbeek/rec-lua-conf-tidy

rec: rec-lua-conf.* tidy

Merge pull request #16429 from rgacogne/ddist-test-http1-date-header

dnsdist: Add a test for the `Date` header in rejected HTTP/1 requests

dnsdist: Add a test for the `Date` header in rejected HTTP/1 requests

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Tidy

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #16402 from pieterlexis/dnsdist-no-ot-activation-without-benchmarks

feat(dnsdist): Speed up adding Spans in the Tracer

Merge pull request #16424 from rgacogne/fix-comment-in-the-sbom-generation-tool

Our SBOMs are in CycloneDX JSON format, not Protocol Buffer

Our SBOMs are in CycloneDX JSON format, not Protocol Buffer

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

feat(dnsdist): wrap d_traceid in Tracer in a lock

feat(dnsdist): Speed up adding Spans in the Tracer

This makes the code cleaner, and does away with the pre- and
post-activation spans. We now have a "mini" span that we convert to
actual Spans only when they need to be sent out.

Using microbenchmarks the following became clear:

Adding a Span to the Tracer (using `Closer::openSpan`) is now about
45% slower than adding it to an old "unactivated" Tracer. But is is
*twice* as fast compared to the old "activated" Tracer.

When tracing is enabled for a query, most spans are added *after*
"activation". So this commit should speed up query processing when
tracing is enabled.

One downside of this commit is that generating the actual OpenTelemetry
Trace data we now need to create the real Spans, this generation is
about 60% slower. However, when the `delay` option is used for the
RemoteLogResponseAction this slowness is not in the hot path of the
query. As this generation happens after the response has been sent.

Signed-off-by: Pieter Lexis <pieter.lexis@powerdns.com>

Merge pull request #16417 from jsoref/docs-remote

Improve remote docs

Apply suggestions from code review

Co-authored-by: Miod Vallat <miod.vallat@powerdns.com>
Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

docs(remote): try to make superMasterBackend reply easier to read

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

docs(remote): make http/rpc match json/rpc for getbeforeandafternamesabsolute

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

docs(remote): fix json for getdomaininfo response

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

docs(remote): fix sentence to end with a period instead of the parenthetical

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

docs(remote): Document that real-remote is a CIDR-netmask

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

docs(remote): Move pre v4.0 content to pre v4.0 breaking section

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

docs(remote): Add sections to important notices

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

Merge pull request #16409 from Habbie/gh-diskspace

auth-backend tests: make more diskspace on the github runner

Merge pull request #16368 from pieterlexis/dnsdist-aarch64

ci(dnsdist): Build and test on arm64/aarch64

Merge pull request #16405 from rgacogne/ddist-fix-outgoing-tls-yaml-doc

dnsdist: Fix the outgoing DoT YAML example

auth-backend tests: make more diskspace on the github runner

ci(aarch64): no -fcf-protection=full on aarch64

ci(dnsdist): Build and test on arm64/aarch64

Merge pull request #16394 from omoerbeek/rec-pubsuffix-eod

rec: don't use a vector of string for internal pubsuffixlist

dnsdist: Fix the outgoing DoT YAML example

As reported by Eddict (thanks!).

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #16383 from pieterlexis/dnsdist-OT-per-rule

feat(dnsdist): Add OT trace for each rule

Remove backwards compatibility code

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #16375 from omoerbeek/dnsdist-http1-date-header

dnsdist: Include a Date: response header for rejected HTTP1 requests

Merge pull request #16255 from rgacogne/openssl-3.6-leak-ocsp

dnsdist: Fix a memory leak with OCSP and OpenSSL 3.6.0

Merge pull request #16392 from omoerbeek/mangle-rust-version

Make version number in rust lib confirm to Rust specifics

Merge pull request #16385 from Habbie/auth-5.0.1-docs

auth 5.0.1 secpoll and changelog

Better words in comment

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

auth 5.0.1 secpoll and changelog

Co-authored-by: Miod Vallat <miod.vallat@powerdns.com>
Signed-off-by: Peter van Dijk <peter.van.dijk@powerdns.com>

Merge pull request #16388 from romeroalx/fix-upload-builds-pulp

gh actions build-packages: fix pattern for the download-artifacts action and publication issues

rec: don't use a vector of string for internal pubsuffixlist

The construct

std::vector<std::string> x  { not event that many string literals };

blows up with some compilers. Worst I have seen is (with not even
8k strings): g++12 develops a resident size of 26G.

This just creates a (blank line and comments stripped) in-memory version of the file that is
fed to the same code as an external file.

Problem noted by @wojas.

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Make version number in rust lib confirm to Rust specifics

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

gh actions build-packages: avoid duplicates download-artifacts action. Fix publications

Combine a few args to get() and replace() into struct

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

feat(dnsdist): Add OT trace for each rule

ci: Update `actions/setup-python` to `v6`

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

ci: Update `actions/upload-artifact` to `v5`

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

ci: Update `actions/download-artifact` to `v6`

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

ci: Update `actions/checkout` to `v5`

Signed-off-by: Josh Soref <2119212+jsoref@users.noreply.github.com>

Store if a RRSet was retrieved over TCP in the record cache

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Include a Date: response header for rejected HTTP1 requests

This allows OpenBSD ntpd time constraint retrieval to work properly
with nghttp2 incoming DoH.

Note that requests having no alpn data do not appear in any stats.
Should that be changed?

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #16374 from miodvallat/dumansw

auth dumresp: fix fd leak

Be sure to not leak a socket if tcpConnectionHandler() throws.

Fixes: #16365
Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Regex: Appease clang-tidy

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Regex: Prevent accidently copying the underlying `regex_t`

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

fixup! dnsdist: Document that our `Regex` is Posix Extended Regular Expressions-compatible

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Document that our `Regex` is PCRE-compatible

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Just in case, catch `PDNSException` while loading YAML configuration

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Properly handle invalid regular expressions

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #16367 from pieterlexis/dnsdist-aarch-ifdef

fix(dnsdist): Fix builds on aarch64

fix(dnsdist): Fix builds on aarch64

Merge pull request #16352 from miodvallat/cecity

api: relax zone name check in view removal

On second thought, relax the zone check for the view add operation too.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Fix buglet which only caused a warning during tests.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Relax zone checks when removing a zone from a view.

It's ok for the zone to no longer exist at this point.

Fixes: #16351
Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #16342 from omoerbeek/rec-prep-sec-2025-06

rec: Prep for Security Release 2025-06

Merge pull request #16338 from omoerbeek/rec-delegation-accept

rec: tighten delegation accept

Merge pull request #16333 from Habbie/dnsdist-reg-lua-function-nil

regression-tests.dnsdist: detect function absence and report it better

Merge pull request #16321 from pieterlexis/dnsdist-ipcrypt2-aarch64

dnsdist: fix building ipcrypt2 on aarch64

Tidy

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Prep for Security Release 2025-06

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

More strict validation of the relation between qname, rname and authname for NS records

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Don't cache non-auth rrsets if a Bogus rrset was found in the answer

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Check to see if authoritative NS and/or address records are usable

In the typical case we deal with non-authoritative records here, but
we *might* have them in cache authoritatively.

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

rec: be more strict accepting delegations

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #16294 from jsoref/fix-workflow-errors

Fix workflow errors

Merge pull request #16337 from zeha/rmgetline

Drop Socket::getline

Merge pull request #16306 from miodvallat/bacf

auth: attempt at technical debt reduction in RFC2136 code

Merge pull request #16287 from DeyanSG/cache_cleaning_race_fix

authoritative: Prevent a potential race condition in cache cleaning

Merge pull request #16293 from miodvallat/ujson

ext/json: sync with upstream

Merge pull request #16334 from Habbie/top-of-the-pops

luawrapper: correct lua_pop argument

Drop Socket::getline

Signed-off-by: Chris Hofstaedtler <chris.hofstaedtler@deduktiva.com>

store debug.traceback function before user can hide it from us

Signed-off-by: Peter van Dijk <peter.van.dijk@powerdns.com>

luawrapper: correct lua_pop argument

a negative argument to _pop has defined behaviour but never
does what the user expects.

Note that none of this matters as Lua will adjust the stack to
the 1 top item, which is the pushed boolean, after `return 1`

but I get confused every time I read the negative version

Signed-off-by: Peter van Dijk <peter.van.dijk@powerdns.com>

regression-tests.dnsdist: detect function absence and report it better

Merge pull request #16307 from omoerbeek/print-features

rec: explicit disabling/enabling of tls-gnutls for full and least configs and packages

chore(dnsdist): disable ipcrypt2 in minimal builds

feat(dnsdist): Make IPCrypt2 optional