feat(dnsdist): Add OTLP-related unit-tests

feat: add `operator==` to all ProtoZero Trace structs

feat(dnsdist): Create protozero-otlp.cc

feat: Add OTLP logger test

feat(dnsdist): More options and config for the OTLP Logger

feat(dnsdist): queue OTLP messages in the logger

feat(dnsdist): hook up OTLP logger to the config

feat(dnsdist): Add a simple OTLP exporter

Merge pull request #17676 from pieterlexis/dnsdist-rm-kiss

fix(dnsdist): remove dangling symlink

Merge pull request #17675 from miodvallat/big-removal

auth: remove dead test

Merge pull request #17674 from pieterlexis/dnsdist-doc-fixes

dnsdist: some small documentation fixes

fix(dnsdist): remove dangling symlink

Merge pull request #17670 from rgacogne/ddist-eol-2.1.0

dnsdist: Update EOL statement now that 2.1.0 has been released

Remove test which has been disabled in 858309ed9c412c7d9976fd22a5429c7ac392c798.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

docs(dnsdist): better format the RemoteLogger IP encryption docs

docs(dnsdist): stop quoting versionadded/modified bumpers in YAML config docs

docs(dnsdist): Fix internal link to method

Merge pull request #17637 from jacob-masse/docs-dynblocks-external-webhook

docs(dnsdist): add webhook-triggered dynamic blocks guide

Merge pull request #17662 from miodvallat/luabel

auth lua: stricter checks in createreverse*

Merge pull request #17528 from rgacogne/remote-logger-reconnect-stalled-writes

remote logger: Reconnect if writes have been stalled for too long

address linter complaints.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17665 from miodvallat/donotarguewithme

auth: missing html escaping in webserver

Merge pull request #17663 from miodvallat/metadata_roulette

auth: perform validation of metadata name before querying the backend.

Merge pull request #17668 from rgacogne/ddist-210-changelog-secpoll

dnsdist: Update ChangeLog and security polling for 2.1.0

dnsdist: Update EOL statement now that 2.1.0 has been released

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

spell-checker: Allow armhf, Cao (contributor) and RUSTFLAGS

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Update ChangeLog and security polling for 2.1.0

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17580 from PowerDNS/dependabot/github_actions/actions/checkout-7

build(deps): bump actions/checkout from 6 to 7

Merge pull request #17574 from PowerDNS/dependabot/pip/regression-tests.recursor-dnssec/cryptography-48.0.1

build(deps): bump cryptography from 48.0.0 to 48.0.1 in /regression-tests.recursor-dnssec

Be sure to properly escape server parameters when displaying them as html.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Perform validation of metadata name before querying the backend.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17654 from rgacogne/ddist-add-tests-for-dnsaction.pool

dnsdist: Add regression tests for the use of `DNSAction.Pool`

More input validation in Lua createreverse4.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

More input validation in Lua createreverse.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17661 from bluikko/patch-1

docs: fix RST syntax in changelog/5.1.rst

docs: fix RST syntax in changelog/5.1.rst

RST syntax is rendered verbatim in the document due to roles missing first colon.

Signed-off-by: Ville Ojamo <14869000+bluikko@users.noreply.github.com>

Introduce a symbolic constexpr for maximum label length. NFC

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17659 from omoerbeek/rec-rust-lto

rec: Set Rust LTO mode automatically, and allow setting RUSTFLAGS, rec edition

Merge pull request #17656 from pieterlexis/auth-changelog-soa-spread

Auth: add SOA Edit Spread docs

Merge pull request #17658 from omoerbeek/rec-coverity-20260630

rec: two Coverity reports: Variable copied when it could be moved

Fix timing attack and broken unblock in external dynblock guide

Replace naive ~= API key comparison with constant-time safeEquals().
Fix unblock handler: duration=0 is rejected by addOrRefreshBlock when
an active block has a later expiry. Use getDynamicBlocks + clearDynBlocks
+ re-add pattern instead.

Signed-off-by: Jacob Masse <jacob@traztech.ca>

docs(dnsdist): fix spell check failures

- Replace 'SIEM' with 'monitoring platform' to avoid unrecognized word
- Add 'cjson' and 'dynunblock' to spell check expect list

Signed-off-by: Jacob Masse <jacob@traztech.ca>

docs(dnsdist): add webhook-triggered dynamic blocks guide

Add a new section to the dynamic blocks guide showing how to use
registerWebHandler to expose HTTP endpoints that let an external
detection system insert and remove dynamic blocks via simple POST
requests. Includes working Lua handlers, curl examples, and a
security note about ACL and TLS.

Signed-off-by: Jacob Masse <jacob@traztech.ca>

rec: Set Rust LTO mode automatically, and allow setting RUSTFLAGS, rec edition

Copied from #17639

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Apply suggestions from code review

Co-authored-by: Peter van Dijk <peter.van.dijk@powerdns.com>
Signed-off-by: Pieter Lexis <pieter@plexis.eu>

rec: two Coverity reports: Variable copied when it could be moved

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

docs(auth): fix formatting of a security advisory

docs(auth): Add more info about SOA edit spreading

dnsdist: Add regression tests for the use of `DNSAction.Pool`

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17640 from rgacogne/coverity-fix-ninja-build

coverity: Add missing argument to `ninja`

Merge pull request #17639 from edmonds/rust-meson-options

dnsdist: Set Rust LTO mode automatically, and allow setting RUSTFLAGS

Merge pull request #17648 from pieterlexis/dnsdist-fix-copy

fix: use reference in loop

fix: use reference in loop

Merge pull request #17638 from Habbie/science-fiction

auth-5.1.3 changelog and secpoll

coverity: Add missing argument to `ninja`

If the third time is the charm, what's the fourth?

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

build(deps): bump actions/checkout from 6 to 7

Bumps [actions/checkout](https://github.com/actions/checkout) from 6 to 7.
- [Release notes](https://github.com/actions/checkout/releases)
- [Changelog](https://github.com/actions/checkout/blob/main/CHANGELOG.md)
- [Commits](https://github.com/actions/checkout/compare/v6...v7)

---
updated-dependencies:
- dependency-name: actions/checkout
  dependency-version: '7'
  dependency-type: direct:production
  update-type: version-update:semver-major
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #17624 from hhoffstaette/dnsdist-ca-missing-lua-methods

dnsdist: add missing ComboAddress functions to Lua bindings

Merge pull request #17636 from rgacogne/fix-rec-ddist-coverity-really

coverity: Fix dnsdist and rec builds (really, this time!)

dnsdist: meson: Add option to set RUSTFLAGS for Cargo build

meson appears to sanitize the environment variables that are passed
into `custom_target` command invocations, so it doesn't appear to be
possible to set the `RUSTFLAGS` environment variable in a `meson setup`
invocation and have it actually be passed to the Cargo build.

It would be nice to be able to set `RUSTFLAGS` to a custom value,
much as it is nice to be able to set `-Dc_args=` and `-Dcpp_args=` in
order to set specific optimization flags. For instance, I'd like to
set `-march=x86-64-v3` in `c_args` and `cpp_args` so that the C/C++
compilers target modern AMD64 CPUs, and also set `RUSTFLAGS` to `-C
target-cpu=x86-64-v3` so that the Rust compiler also targets modern
AMD64 CPUs. (According to `rustc --print target-cpus` the default target
CPU for rustc 1.96.0 is apparently the original baseline x86-64.)

There are other relevant settings that can be passed via `RUSTFLAGS`
such as `-C codegen-units=1` [0], which can optimize Rust LTO
builds further, as well as `-C linker-plugin-lto` [1] which can
perform LTO across the C/C++ and Rust language boundary, although
linker-plugin-based LTO requires the user to carefully ensure that
compatible versions of Clang/LLVM/LLD/Rustc are being used.

[0]: https://doc.rust-lang.org/rustc/codegen-options/index.html#codegen-units

[1]: https://doc.rust-lang.org/rustc/linker-plugin-lto.html

Signed-off-by: Robert Edmonds <edmonds@users.noreply.github.com>

dnsdist: meson: Automatically plumb LTO setting into Cargo build

meson has built-in options that control whether an LTO build is
performed [0], but these settings only affect the C/C++ code that is
compiled by meson, and not the Rust code compiled by the external Cargo
invocation.

Cargo supports several LTO modes [1] like "thin" and "fat" which have to
be expressed as Cargo profile settings. Custom profiles could be defined
in the Cargo.toml file containing the desired LTO settings, but as there
are already some existing dependencies on whether the Cargo profile
is set to "release" or "dev", it looks like the easiest thing to do is
to express a Cargo profile override for the currently selected profile
using the `cargo --config` command-line syntax [2].

This commit adds a `rust-lto` meson option (defaulting to true). If
true, it examines the meson `b_lto` and `b_lto_mode` settings and
determines whether the Cargo build should be overridden to Rust LTO mode
"fat" (if b_lto is true and b_lto_mode is "default") or to Rust LTO mode
"thin" (if b_lto is true and b_lto_mode is "thin").

The previous behavior where the meson LTO options would not affect the
Cargo build can be selected by specifying `-Drust-lto=false` to meson.

[0]: https://mesonbuild.com/Builtin-options.html#base-options

[1]: https://doc.rust-lang.org/cargo/reference/profiles.html#lto

[2]: https://doc.rust-lang.org/cargo/reference/config.html#command-line-overrides

Signed-off-by: Robert Edmonds <edmonds@users.noreply.github.com>

auth-5.1.3 changelog and secpoll

Add missing ComboAddress functions to Lua bindings

Add toStringReversed()/toStringNoInterface() Lua bindings just as
in dnsdist.

Signed-off-by: Holger Hoffstätte <holger@applied-asynchrony.com>

Merge pull request #17568 from miodvallat/cantally

auth api: get the number of rrsets of a zone

dnsdist: add missing ComboAddress functions to Lua bindings

iputils.hh implements toStringReversed & toStringNoInterface, but they
were not exposed to Lua:

 > ca4=newCA("192.168.100.200")
 > ca4:toStringReversed()
 200.100.168.192
 > ca6=newCA("fd39:8628:558:0:62b5:8dff:fe1e:d8a8")
 > ca6:toStringReversed()
 8.a.8.d.e.1.e.f.f.f.d.8.5.b.2.6.0.0.0.0.8.5.5.0.8.2.6.8.9.3.d.f
 > ca6if=newCA("fe80::1ff:fe23:4567:890a%eth0")
 > ca6if:toStringNoInterface()
 fe80::1ff:fe23:4567:890a

Signed-off-by: Holger Hoffstätte <holger@applied-asynchrony.com>

coverity: Add missing `REPO_HOME` env var for the recursor build

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

coverity: Set `BUILDER_VERSION`

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

coverity: Fix wrong c/p from another workflow that uses a build matrix

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17635 from rgacogne/ddist-fix-default-ecs-source-prefix-v4

dnsdist: Fix the default value for IPv4 ECS source prefix

Merge pull request #17634 from rgacogne/fix-rec-ddist-coverity

coverity: More fixes to build dnsdist and rec (pip deps, Rust for rec)

dnsdist: Fix the default value for IPv4 ECS source prefix

The wrong default caused any value set via YAML to be ignored.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

coverity: More fixes to build dnsdist and rec (pip deps, Rust for rec)

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17622 from miodvallat/ueberlua

auth: minor lua fixes

Merge pull request #17626 from rgacogne/fix-rec-ddist-coverity

coverity: Fix dnsdist and rec scans

Merge pull request #17625 from miodvallat/structured_testing

auth: enable structured logging in some tests

Merge pull request #17586 from miodvallat/auth-api-generic-type

auth REST API: escaping issue with generic record syntax

coverity: Fix dnsdist and rec scans

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Enable structured logging in many tests (but not all).

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Add missing lookupEnd if Lua record execution gives satisfaction.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Keep the structured logger for Lua records in the per-execution context.

Prior to this change, the structured context would be kept in a capture and
hold the logger used for the first Lua code execution, and could be outdated
or not precise enough when multiple threads are used.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17620 from miodvallat/kantspel

hide the fact that we can't spell

Merge pull request #17606 from rgacogne/ddist-ywh-231

dnsdist: Properly handle bogus DATA frame for DoH3 GET streams

typos

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Allow for a few more words

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Let the API return the number of records in zone details.

Also, allow the record count to be obtained without the record contents.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17587 from miodvallat/record_obesity

Reject numerical record type values which do not fit in 16 bits

Merge pull request #17570 from miodvallat/apimandias

auth api: allow forced update for EXTEND and DELETE zone patch operations

Merge pull request #17300 from miodvallat/too_much_ent_ropy

auth: technical depth reduction in rectifyZone

Merge pull request #17583 from Habbie/soa-edit-jitter-longer-test

soa-edit-spread test: start measuring earlier

dnsdist: Apply Pieter's suggestion

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Be more consistent when processing DoH3 headers

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Properly handle bogus DATA frame for DoH3 GET streams (YWH-PGM6095-231)

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

sigh-tidy

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17607 from rgacogne/ddist-edns-smuggling-ywh-259

dnsdist: Check the owner name when parsing an OPT record

Merge pull request #17604 from rgacogne/ddist-ixfr-soa-leak-outgoing-connection

dnsdist: Better handling of invalid SOA in IXFR queries

Merge pull request #17603 from rgacogne/ddist-469

dnsdist: Fix out-of-bounds read in SetMacAddrAction

Merge pull request #17601 from rgacogne/ywh-213

dnsdist: Fix handling of trailing whitespaces in base64 content

Merge pull request #17600 from rgacogne/ddist-ywh-201

dnsdist: Sanitize DNS names before passing them to prometheus

Merge pull request #17609 from omoerbeek/rec-priv-ywh-290-edns-vs-dnssec

rec: If EDNS is mandatory, do it always in the first iteration (#YWH-PGM6095-290)

Merge pull request #17608 from omoerbeek/rec-priv-ywh275-zonemd

rec: check RRSIG record is valid in zonemd before processing further (#YWH-PGM6095-275)

Merge pull request #17605 from omoerbeek/rec-priv-ywh-264-xfr-soa

rec: With catalog zone transfers, check if SOA is defined before using