boot-entry: introduce boot_entry_token_ensure_at()

boot-entry: use chase_and_fopen_unlocked() to open /etc/kernel/entry-token

Otherwise, when 'root' is specified, the file may be a symlink to a host
file, and we may read wrong entry.

boot-entry: prioritize machine ID only when it is not randomly generated

Preparation for later commits. The parameter will be used in
kernel-install later.

Merge pull request #27214 from DaanDeMeyer/firstboot

firstboot: Use root directory file descriptor for everything

Modified to use STRV_MAKE() in strv_env_name_is_valid() function listed in env-util.c

Merge pull request #27209 from jamacku/patch-1

Don't run release workflow on `systemd-security` & drop checkout action

systemctl: suppress error for try-* if unit is masked

Closes #16521

boot: Fix alignment of long long inside structs on x86

On x86 EFI follows the windows ABI, which expects 8-byte aligned long
long. The x86 sysv ELF ABI expects them to be 8-byte aligned when used
alone, but 4-byte aligned when they appear inside of structs:

    struct S {
        int i;
        long long ll;
    };

    // _Static_assert(sizeof(struct S) == 12, "x86 sysv ABI");
    _Static_assert(sizeof(struct S) == 16, "EFI/MS ABI");

To get the behavior we need when building with sysv ELF ABI we need to
pass '-malign-double' to the compiler as done by EDK2.

This in turn will make ubsan unhappy as the stack may not be properly
aligned on entry, so we have to tell the compiler explicitly to re-align
the stack on entry to efi_main.

This fixes loading EFI drivers on x86 that were previously always
rejected as the EFI_LOADED_IMAGE_PROTOCOL had a wrong memory layout.

See also: https://github.com/rhboot/shim/pull/516

ci: drop checkout from release workflow

It's not required as per comment - https://github.com/systemd/systemd/pull/27110#issuecomment-1499653913

ci: don't run release wf on `systemd-security`

hwdb: add matrix for Asus BR1100F (#27197)

firstboot: Use root directory file descriptor for everything

There were a few remaining cases where we used arg_root instead of
the root directory file descriptor. Let's port those over to use the
root directory file descriptor as well.

user-util: Add default_root_shell_at()

Merge pull request #27186 from yuwata/os-release

os-util: several cleanups and introduce _at() variants of os-release parsers

Merge pull request #27169 from yuwata/udev-rule-refuse-unsafe-path

sd-device,udev: refuse unsafe path in SYMLINK= and TAG=

hwdb: fix ambiguous glob pattern for Lenovo machines

Fixes #27195.

Follow-up for a5c0ad9a9a2964079a19a1db42f79570a3582bee.

os-util: introduce several _at() variants of os-release parsers

os-util: make $SYSTEMD_OS_RELEASE prefixed with the root directory

To make it consistent with other env vars, e.g. $SYSTEMD_ESP_PATH or
$SYSTEMD_XBOOTLDR_PATH.

This is useful when the root is specified by a file descriptor, instead
of a path.

os-util: merge parse_{extension,os}_release()

os-util: invert order of arguments in extension release parser

For consistency with other functions.
Unfortunately, va_start() requires that the previous argument is a
pointer, hence the order of the arguments in the internal function
cannot be changed.

os-util: shorten temporal variable names

No functional change, just refactoring.

os-util: log one more error cause

os-util: do not use 'r' for storing loop status

The variable 'r' is usually used for storing return value of functional
call. Let's introduce another boolean to store the current loop status.

No functional change, just refactoring.

os-util: return earlier when unsupported image class is specified

os-util: return earlier when extension release file is found

No functional change, just refactoring.

os-util: split-out open_os_release() from open_extension_release()

The logics of opening os-release and extension-release are completely
different.
No functional change, just refactoring.

os-util: fix fd leak on failure

os-util: make open_extension_release() return O_PATH fd

os-util: drop fopen_extension_release()

compress: replace compress_blob() with compress_blob_explicit()

And make compress_xyz() return 0 on success, as we know which compression
algorithm is used when calling compress_blob().

Follow-up for 2360352ef02548723ac0c8eaf5ff6905eb9eeca5.

Merge pull request #27206 from yuwata/udev-rename

udev: rename arguments and options, update comments

chase: drop redundant call of delete_trailing_chars()

In that branch, 'root' is a non-root and absolute path.
Hence, delete_trailing_chars() does not make the path empty.
And, if the path contains redundant slashes at the end, that will be
dropped by path_simplify().

Merge pull request #27207 from masatake/busctl--help-msg

busctl: add --xml-interface to the help message

Merge pull request #27201 from yuwata/o-path-support

Support O_PATH more

tree-wide: A few more uses of "unmet" for conditions

This is a followup to
413e8650b71d4404a7453403797f93d73d88c466
> tree-wide: Use "unmet" for condition checks, not "failed"

Since I noticed when running `systemctl status` on a recent
systemd still seeing
`Condition: start condition failed`

To recap the original rationale here for "unmet" is that it's
normal for some units to be conditional, so the term "failure"
here is too strong.

Merge pull request #27199 from yuwata/find-esp

path-util: introduce path_prefix_root_cwd(), and use it in find_esp() and friends

Merge pull request #27202 from yuwata/os-release-tiny-cleanups

os-util: tiny cleanups

env-file: introduce parse_env_file_fdv()

shell-completion: add --xml-interface option of busctl to the rules

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

busctl: add --xml-interface to the help message

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

find-esp: use path_prefix_root_cwd()

Unlikely, but even if find_esp() or friends called with unnormalized or
relative 'root', let's make the result path normalized and absolute.

Note, before 63105f33edad423691e2d53bf7071f99c83799ba, these functions
returned an absolute and normalized path. But the commit made the result
path simply concatenated with root.

Follow-up for 63105f33edad423691e2d53bf7071f99c83799ba.

path-util: introduce path_prefix_root_cwd()

test: update description

udev/scsi_id: rename positional arguments

device-nodes: rename argument

os-util: drop redundant declaration of load_os_release_pairs()

os-util: use _IMAGE_CLASS_INVALID

When extension is not specified, image class is not necessary to be
specified. Let's use _IMAGE_CLASS_INVALID as an indicator that no
extension is specified.

os-util: move declaration of string table lookup for image class

portable: always reopen fd of release file

To make it support the case that the fd is O_PATH.

copy: make copy_bytes() support O_PATH fds

Merge pull request #27182 from mrc0mmand/test-tweaks

test: a couple of stability tweaks

Merge pull request #27184 from yuwata/xfopenat-full

fileio: introduce xfopenat_full()

ci: add permissions to make a release

follow-up to https://github.com/systemd/systemd/pull/27071
in order to create Github Releases, the job needs permissions to write
contents

also:
- pinned the `softprops/action-gh-release` action to a specific commit
- made it only active on the `systemd` organization repos (so not on
  forks)

Merge pull request #27193 from yuwata/analyze-blame

analyze: make 'blame' work even the default target not reached

Merge pull request #27194 from yuwata/chase-cleanups

chase: several cleanups

fd-util: slightly optimize dir_fd_is_root()

When STATX_MNT_ID is not supported, we need to manually obtain mount id.
Let's compare inodes earlier.

chase: use dir_fd_is_root() to check if fd points to the root directory

As commented in dir_fd_is_root(), comparing inode is not enough to
determine if we are at the root directory.

chase: use stat_inode_same() at one more place

test: add tests about iterator position for path_find_{first,last}_component()

When path_find_first_component() returns the last component, the iterator
must be an empty string. The fact is heavily used in chaseat(). Let's
explicitly test it.

path-util: make iterator for path_find_last_component() always finish with the beginning of the buffer

chase: extend comment about CHASE_PARENT

chase: drop one redundant call of fstat()

Now, 'st' is always synced with 'fd'. Hence, we can use
stat_verify_directory().

chase: make struct stat always sync with the opened fd

Previously, struct stat may not be correctly synced with the currently
opened fd, e.g. when a path contains symlink which points to an absolute
path.

This also rename variables for struct stat, to make them consistent with
the corresponding fd.

chase: drop unnecessary conditions for buffer

test: add another regression test

For #27187, which should be also caused by #26956.

test: systemd-analyze blame should succeed now

analyze: make blame command work even the default target not reached

kernel-image: make inspect_kernel() optionally take directory fd

fileio: introduce read_one_line_file_at()

fileio: introduce xfopenat_full()

This unifies call of various xfopenat() variants.
No functional change, just refactoring.

fileio: use take_fdopen() and friends

Merge pull request #27160 from yuwata/conf_files_list_at

conf-files: introduce _at() variants of conf file enumerator

Merge pull request #27174 from YHNdnzj/edit-util-fixlets

edit-util: several improvements

test: check if we skip the full setup on daemon-reexec (again)

My original assumption in 61961e693d was wrong, since we do reset
/dev/console during reexec (see make_console_stdio()), so the test was
quite racy. Let's replace it with something, hopefully, more reliable.

Follow-up to 61961e693d.

test-64: add tests for compat devlinks for NVMe drive

test: add tests for conf_files_list_at() and friends

conf-files: introduce _at() variants of conf_files_list() or friends

conf-files: split out logic of copy and sort filenames from hashmap

No functional change, preparation for the next commit.

conf-files: use path_compare_filename()

path-util: introduce path_compare_filename()

conf-files: drop redundant call of chase()

Previously, chase() was called twice in files_add() and path_strv_resolve_uniq().

rules: drop doubled space

udev: restore compat symlink for nvme devices

In 5118e8e71dda211d20e34ec8d3012186ba27d3d3, the rules were changed to add
OPTIONS="string_escape=replace" to creation of
ENV{ID_SERIAL}="$env{ID_MODEL}_$env{ID_SERIAL_SHORT}", so that "/" would be
escaped. But this also changes how the symlink looks for devices that do not
have "/". This adds back the old symlink for compat, except when a slash
is present.

In the meantime, we changed the symlink format to include ${ND_NSID}. Since
the symlink with unescaped characters are older than that, for compat we
only need to cover the older type. (Symlinks without escaping and with ${ND_NSID}
were never created.)  This makes it slightly easier on users: the non-deprecated
symlinks are with "_${ND_NSID}", so they are easier to distinguish.

Fixes #27155.

Mostly untested :(  I only have a boring nvme device with no special characters
in the id, and the symlinks are unchanged for it by this patch.

sd-device: manage cached sysattr values with path_hash_ops

As here keys are relative paths to sysattrs.

sd-device,udev: tag must be a valid filename

All tags are managed under /run/udev/tags, and the directories there are
named with tags. Hence, each tag must be a valid filename.

This also makes all validity check moved to sd-device side, and
makes failure caused by setting invalid tags non-critical.

With this change, an empty string cannot be assigned to TAG=, hence the
test cases are adjusted.

test: handle one more error gracefully

Fixes #27175.

sd-device,udev: refuse invalid devlink and store in normalized form

This is especially for the case that the path contains "..".
Prompted by https://github.com/systemd/systemd/pull/27164#issuecomment-1498863858.

This also makes SYMLINK= gracefully handle paths prefixed with "/dev/",
and manage devlink paths with path_hash_ops.

udev-rules: replace ingrowing word extractor with extract_first_word()

No functional change, just refactoring.

udev-rules: rename variable "filename" -> "path"

udev-rules: add/update comments

udev-rules: add missing paren

localed: fix invalid free after shifting pointers using strstrip

After manually editing /etc/locale.gen, calling localectl set-locale
sometimes fails. When it fails, the systemd journal shows:
systemd-localed: free() / invalid pointer.

It turned out that it only fails if some of the uncommented lines in
/etc/locale.gen have leading spaces, as in:

  * C.UTF-8       <= OK
  * en_US.UTF-8   <= OK
  *  fr_FR.UTF-8  <= NOK

After parsing a line from /etc/locale.gen, we use strstrip() to obtain
the "trimmed" line (without leading or trailing spaces).

However, we store the result of strstrip() in the original pointer
containing the untrimmed line. This pointer is later passed to free
(this is done automatically using _cleanup_free_).

This is a problem because if any leading space is present, the pointer
will essentially be shifted from its original value. This will result in
an invalid free upon cleanup.

The same issue is present in the locale_gen_locale_supported function.

Fixed by storing the result of strstrip() in a different pointer.

test: bump the timeout for non-qemu runs to 90s

When Ubuntu CI is oversaturated, 60s doesn't seem to be enough.

test: enable the systemd-resolved unit in TEST-75

Without enabling itx, there's no symlink to the org.freedesktop.resolve1
dbus service, so there exists a tiny window in which the sequence of
`systemctl start` and `systemctl service-log-level` commands might fail:

[ 1127.615151] H systemd[1]: Started Network Name Resolution.
[ 1127.617768] H testsuite-75.sh[34]: + systemctl service-log-level systemd-resolved.service debug
[ 1127.621251] H dbus-daemon[54]: [system] Activating via systemd: service name='org.freedesktop.resolve1' unit='dbus-org.freedesktop.resolve1.service' requested by ':1.24' (uid=0 pid=119 comm="systemctl service-log-level systemd-resolved>
[ 1127.621336] H systemd[1]: dbus-org.freedesktop.resolve1.service: Failed to load configuration: No such file or directory
[ 1127.621364] H systemd[1]: dbus-org.freedesktop.resolve1.service: Trying to enqueue job dbus-org.freedesktop.resolve1.service/start/replace
[ 1127.621395] H systemd[1]: D-Bus activation failed for dbus-org.freedesktop.resolve1.service: Unit dbus-org.freedesktop.resolve1.service not found.
[ 1127.621965] H dbus-daemon[54]: [system] Activation via systemd failed for unit 'dbus-org.freedesktop.resolve1.service': Unit dbus-org.freedesktop.resolve1.service not found.
[ 1127.622046] H systemd[1]: systemd-resolved.service: D-Bus name org.freedesktop.resolve1 now owned by :1.25
[ 1127.622130] H systemctl[119]: Failed to set log level of org.freedesktop.resolve1 to debug: Unit dbus-org.freedesktop.resolve1.service not found.

Spotted in a couple of recent Ubuntu CI runs.

man/systemd-mount: Clearify documentation about --bind-device

The documentation suggests that the mount point (i.e. the directory
where the device is mounted) is removed when the device vanishes.
However only stopping of the automount unit is implemented.

So adapt the documentation to reality.

mkosi: Update to latest

This contains the recently merged fixes to config parsing ordering
and overrides.

hwdb: Add support for "Passion Model P612F"

Add hwdb sensor entry for device Passion with accelerometer "MXC6655".

Merge pull request #26887 from yuwata/proc-cmdline-filter-arguments

proc-cmdline: filter PID1 arguments on container

Merge pull request #27161 from pothos/sysext-refresh

systemd-sysext/confext.service: Refresh on start/reload

bootctl: Gracefully handle missing bootloader directory

When --graceful is specified, let's gracefully deal with a missing
bootloader directory.