sbsign: Make sure output file mode respects umask

sbsign: Make two debug logs into error logs

capability-util: rename output argument of capability_gain_cap_setpcap()

core: use usec_add() at one more place

Follow-up for 8af1b296cb2cec8ddbb2cb47f4194269eb6cee2b.
Fixes CID#1590317.

Tweaks to generic "io.systemd.service" Varlink interface, and hook it up in all long-running Varlink daemons (#35914)

pid1,nspawn: enable usrquota on /tmp/ + /dev/shm/ (#36036)

Split out of #36010.

This simply enables the "usrquota" mount option on the two dirs if they
are backed by tmpfs.

#36010 contains a test that actually verifies that the mount option does
its thing.

tree-wide: coding style fixlets done by coccinelle (#36074)

man/systemd.special: Add suspend-then-hibernate.target to sleep.target documentation

tree-wide: coding style fixlets done by coccinelle

coccinelle: add .gitignore for cache files

tree-wide: use log_level_is_valid() more

test: add superficial test for generic per-service varlink API

tree-wide: implement generic io.systemd.service Varlink interface in all long-running services

Given we have the generic interface, let's hook it up everywhere.

This doesnt bother with the Reload() call usually, since that's more
involved, but hooks up the other relevant functions where applicable.

varlink: add generic GetEnvironment() call to the Varlink "service" interface

It's just so useful being able to retrieve the current env block from
our services. Add a concept for that. It's really simple, and dumb.

In many ways it's like /proc/$PID/environ, but shows the actual
environ[] array visible to the app, not just some memory that was
originally used for the env block passed in, but might have been rearranged.

varlink: tweak introspection description for Reload()

varlink: drop redundant check

sd_varlink_dispatch() alredy validates all this, no need to check this
manually.

varlink: rely on sd_varlink_dispatch() for validating zero-argument method calls, too

json-util: fine tune json_dispatch_log_level()

Let's give the user control on how to handle JSON "null" assignments of
the log level. As one of three cases: as failure, as LOG_NULL (i.e. to
turn off logging) or as LOG_INFO (as our usual default log level).

Let's then use that in the generic SetLogLevel() call, so that callers
can use it to explicitly turn off logging in a service.

Note that this was (probably accidentally) already implemented, except
that the introspection enforcement blocked it. Let's clean this up and
make this officially a thing, since it's generally useful to turn off
logging I think.

nspawn: enable usrquota support on /tmp/ and /dev/shm/

units: enable usrquota support on /tmp/

pid1: enable usrquota support on /dev/shm

man: replace "-" with "none" in cryptsetup commands and crypttab

`none` is more explicit and harder to overlook than `-` which in certain
contexts could be misunderstood to mean standard input.

TODO: fix typo

Follow-up for fb8d46cffeac5a9607f94022978ae6ce95e6b8dc.

process-util: fix typo

Also rebreak comment.

Follow-up for 03b89cf213d5d1a60601ff158a6366718461fa4b.

login: fix typo

Follow-up for a6ad410ffa5d63647ea9048932b7b459cbe55662.

pid1: when a password is requested during PAMName= processing, query it via the ask-password logic

udev: add --verbose option for 'udevadm test' and add more verbose logs (#36021)

split out of #35968.

tree-wide: switch various uses of mkdtemp() over to mkdtemp_malloc() (#36057)

escape: make 'bad' parameter optional

Treat a NULL bad parameter just like an empty one: do not escape any
additional characters except for the CC chars.

meson: bump C std to gnu17

GCC 8.4 (our baseline) defaults to gnu17 already.

udev-rules: add trace logs for GOTO and parent conditions

udev-rules: update log messages

This also adds trace logs about token result, and skipping assignment
caused by final value already assigned.

udev-rules: ignore whole command result if it is too long and does not contain newline

udev-rules: introduce udev_replace_chars_and_log()

And logs about replacement only when trace logging is enabled.

udev-rules: add more trace logs for string match

udev-rules: logs result of format substitution

This also drops redundant token string in log message on truncation.

No functional change, but should improve debuggability.

udev-rules: show original token string in log_event_error() and friends

This also makes
- make many loggers refactored,
- log_event_error() and friends UdevEvent object,
- introduces log_event_trace().

No functional change, just refactoring and preparation for later
commits.

udevadm-test: introduce -v/--verbose option to show verbose log messages

Currently this does not show any extra log messages. In later commits,
more verbose log messages will be added.

hexdump: if size is SIZE_MAX, use strlen()

Similar how we do this as various places: if SIZE_MAX is specified as
size determine the size automatically via strlen().

nspawn: assorted coding style fixes

tree-wide: switch various uses of mkdtemp() over to mkdtemp_malloc()

mkosi: update fedora commit reference

* c7fecc18eb Skip test_sysusers_defined on upstream builds
* f257050ddd Add a .editorconfig file
* aa5546e9ed Add a few mkosi artifact directories to .gitignore
* 01e5bc1c93 Set SBAT in sd-boot when building on OBS
* a7eec4d33d Run upstream integration test suite with Fedora CI

Several fixlets for GCC warnings (#36051)

Replaces #36043 and #36039.

Two readme tweaks (#36053)

README: add sgx to list of required groups

Follow-up for c9c4899f4444d9586e541b5e72597a37f949433a.

docs/HACKING: use 'run0' to indicate which commands require privileges

update TODO

README: update requirements

udev: set clock group for PTP and RTC devices

Add a new group for clock devices to enable applications like linuxptp
to open clocks without root privileges.

fundamental-macro: conditionalize several gcc warning pragmas

This fixes the following error:

In file included from ../src/basic/macro.h:13,
                 from ../src/basic/env-util.h:9,
                 from ../src/nss-systemd/nss-systemd.c:7:
../src/fundamental/macro-fundamental.h:61:9: error: option ‘-Wzero-as-null-pointer-constant’ is valid for C++/ObjC++ but not for C [-Werror=pragmas]
   61 |         _Pragma("GCC diagnostic ignored \"-Wzero-as-null-pointer-constant\"")
      |         ^~~~~~~
../src/nss-systemd/nss-systemd.c:106:1: note: in expansion of macro ‘DISABLE_WARNING_ZERO_AS_NULL_POINTER_CONSTANT’
  106 | DISABLE_WARNING_ZERO_AS_NULL_POINTER_CONSTANT;
      | ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
cc1: all warnings being treated as errors

nss-systemd: work around -Werror=zero-as-null-pointer-constant issue with PTHREAD_MUTEX_INITIALIZER

This fixes builds on Fedora:

../src/nss-systemd/nss-systemd.c:105:18: error: zero as null pointer constant [-Werror=zero-as-null-pointer-constant]
  105 |         .mutex = PTHREAD_MUTEX_INITIALIZER,
      |                  ^~~~~~~~~~~~~~~~~~~~~~~~~
../src/nss-systemd/nss-systemd.c:105:18: error: zero as null pointer constant [-Werror=zero-as-null-pointer-constant]
../src/nss-systemd/nss-systemd.c:109:18: error: zero as null pointer constant [-Werror=zero-as-null-pointer-constant]
  109 |         .mutex = PTHREAD_MUTEX_INITIALIZER,
      |                  ^~~~~~~~~~~~~~~~~~~~~~~~~
../src/nss-systemd/nss-systemd.c:109:18: error: zero as null pointer constant [-Werror=zero-as-null-pointer-constant]
../src/nss-systemd/nss-systemd.c:113:18: error: zero as null pointer constant [-Werror=zero-as-null-pointer-constant]
  113 |         .mutex = PTHREAD_MUTEX_INITIALIZER,
      |                  ^~~~~~~~~~~~~~~~~~~~~~~~~
../src/nss-systemd/nss-systemd.c:113:18: error: zero as null pointer constant [-Werror=zero-as-null-pointer-constant]
../src/nss-systemd/nss-systemd.c:117:18: error: zero as null pointer constant [-Werror=zero-as-null-pointer-constant]
  117 |         .mutex = PTHREAD_MUTEX_INITIALIZER,
      |                  ^~~~~~~~~~~~~~~~~~~~~~~~~
../src/nss-systemd/nss-systemd.c:117:18: error: zero as null pointer constant [-Werror=zero-as-null-pointer-constant]
cc1: all warnings being treated as errors

fundamental: unify gcc warning pragmas at one place

This also drops HAVE_WSTRINGOP_TRUNCATION as the corresponding option
was introduced in GCC 8, and our baseline is GCC 8.4.

test: add link to Ubuntu autopkgtest status page in README

Known issues will be listed there by the team managing the infra

process-util: port pid_from_same_root_fs() to pidref + more (#35975)

Let's continue our move to PidRef.

process-util: slightly update comment in freeze()

process-util: port pid_from_same_root_fs() to pidref, and port three places over to it

test-process-util: don't run rest of test suite in forked off child

We left the test suite running in the child after forking off a
temporary child for testing. That's bad. fix it.

process-util: introduce new FORK_FREEZE flag for safe_fork()

Often we want to fork off a process that just hangs until we kill it,
let's add a simple flag to create one of this type, and use it at
various places.

pidref: various shortcuts to pidref_equal()

This adds some shortcuts to pidref_equal(), so that we don't have to
query the pidfs id if there's no need.

tree-wide: drop support for kernels without pidfd_open() and pidfd_send_signal() (#35971)

namespace-util: don't reset UID/GIDs in namespace_enter() unless we enter a userns

The reset of UID/GID only really makes sense if we enter a userns, hence
let#s restrict it to that.

shared/bus-util: add missing `set.h` include

```
In file included from ../src/shared/bus-get-properties.c:4:
../src/shared/bus-message-util.h:22:60: error: unknown type name ‘Set’
   22 | int bus_message_append_string_set(sd_bus_message *m, const Set *s);
      |                                                            ^~~
../src/shared/bus-get-properties.c: In function ‘bus_property_get_string_set’:
../src/shared/bus-get-properties.c:178:9: error: unknown type name ‘Set’
  178 |         Set **s = ASSERT_PTR(userdata);
      |         ^~~
```

follow-up to https://github.com/systemd/systemd/commit/91080bc9733b5b2478bfc0ed58f6a7ae5da7e639

shell-completions: add systemctl sleep

meson: enable -Wzero-as-null-pointer-constant (#36028)

Support for C added in gcc 15:

https://github.com/gcc-mirror/gcc/commit/236c0829ee21a179c81b83f0d7f112ca23c47a4d

pid1: add GracefulOptions= setting to .mount units (#36023)

This new setting can be used to specify mount options that shall only be
added to the mount option string if the kernel supports them.

This shall be used for adding "usrquota" to tmp.mount without breaking
compat, but is generally be useful.

meson: enable -Wzero-as-null-pointer-constant

Support for C added in gcc 15:
https://github.com/gcc-mirror/gcc/commit/236c0829ee21a179c81b83f0d7f112ca23c47a4d

tree-wide: remove unnecessary gcc >= 7 version check

Our baseline is gcc 8.4.

Revert "OBS: build Fedora/Debian/Ubuntu x86_64 packages on PRs"

This does not work yet, as we configure multiple git sources,
and the workflow service gets confused. We need to update one
(the actual code repo) and leave the recipe repos intact, but
this is not supported right now.

This reverts commit 01f05f0087204914e489057baf12317815325956.

OBS: build Fedora/Debian/Ubuntu x86_64 packages on PRs

Start with a subset of what is built from main, can be expanded as
needed

log: check isempty for object_field and extra_field

pty_open_peer() follow-up (#36027)

pid1: add GracefulOptions= setting to .mount units

This new setting can be used to specify mount options that shall only be
added to the mount option string if the kernel supports them.

This shall be used for adding "usrquota" to tmp.mount without breaking compat,
but is generally be useful.

pam-systemd: introduce "user-light" session type, and make "background-light" the default for system users (#35987)

This implements one idea from #34988: default to "user-light" and
"background-light" for system users, so that the service manager is only
pulled in for sessions that likely need them, i.e. not cron jobs or ftp
logins.

This is a compat break to some degree, but I think a worthy one. I
updated the NEWS file to explain this.

random-util: fix compilation error

Fixes the following error:
```
../src/basic/random-util.c: In function "fallback_random_bytes":
../src/basic/random-util.c:45:26: error: initializer-string for array of "char" is too long [-Werror=unterminated-string-initialization]
   45 |                 .label = "systemd fallback random bytes v1",
      |                          ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
cc1: all warnings being treated as errors
```

userdb: optionally parse numeric UIDs/GIDs where a username is expected

Let's move this logic from userdbctl into generic code so that we can
use it elsewhere.

analyze: fix assignment of object_field

Prompted by #36000.

curl-util: use curl_getdate instead of implementing http spec

Available since curl 7.1, which is less than the version required in
meson.build

https://curl.se/libcurl/c/curl_getdate.html

terminal-util: drop unused open_terminal_in_namespace()

With our baseline including TIOCGPTPEER we now systematically
open pty peer through ioctl(), i.e. this sits unused
since 1d522f1a866f911980b5eaad87182bf58c58fa32. Kill it!

run: with TIOCGPTPEER there's no longer need to acquire pty peer through IPC

run: correct log level for pty_open_peer() error

Everything around it logs loudly.

logind: improve log message we generate when a user logs in

Mention the session type and class both in the human readable string and
in the structured log.

run0: allow explicit control of service manager activation for run0 sessions

This adds a new --lightweight=yes/no switch which allows controlling
whether the invoked service will have the service manager around or not.

Moreover, this changes that if the target user is root it will now
support to the lightweight mode, i.e. run0 towards root will no longer
pull in the service manager (a real tty login via getty still will
though!).

My thinking here is that quickly raising privileges via run0 probably
shouldn't be considered a proper login but just something short lived,
temporary for a single command or similar.

run: fire sd_notify("READY=1") when in service mode and the unit is properly started

Let's make sure systemd-run itself works nicely as a service that tells
the caller when it is ready.

Note that we don't fire the same message in scope mode, since in that
case want to leave sd_notify() handling to the invoked process.

logind: introduce "user-light" session class

This new session class is to "user" what "background" is to
"background-light": it doesn't cause the per-user service manager to
start.

This new session class is now the default if no session class was
provided at session registration time and the following conditions hold:

1. The session is not graphical
2. The user is not a regular user (but not root)

Or in other words root and system users won't get a service manager
started automatically if they go through a PAM session as part of things
like cron or ftp. They will however still get one if they log in
graphically.

This changes behaviour a bit, but hopefully in OK was.

This also makes "background-light" for system users incl. root.

This addresses one of the ideas discussed in #34988.

logind: introduce macro for the last session class condition check

For all checks regarding the properties of sessoin classes we have
SESSION_CLASS_CAN_XYZ() style macros. Except for one. Convert that one
too.

pam-systemd: downgrade log message we handle gracefully to LOG_WARNING as per coding style

mkosi: disable multipathd by default

Hopefully fixes #36008.

logind: register PAM sessions via Varlink instead of D-Bus (#35264)

This makes things a bit faster (because it cuts down a bit on
roundtrips) and prepares ground so that one day we can let logind run in
earlier boot already, making it a bit less special.

communication between logind and pid1 is still dbus only, hence there's
a lot of room for further improvement I guess.

efivars: deal with uncommitted efi variables

Unfortunately kernel reports EOF if there's an inconsistency between efivarfs var list
and what's actually stored in firmware, c.f. #34304. A zero size env var is not allowed in
efi and hence the variable doesn't really exist in the backing store as long as it is zero
sized, and the kernel calls this "uncommitted". Hence we translate EOF back to ENOENT here,
as with kernel behavior before
https://github.com/torvalds/linux/commit/3fab70c165795431f00ddf9be8b84ddd07bd1f8f

If the kernel changes behaviour (to flush dentries on resume), we can drop
this at some point in the future. But note that the commit is 11
years old at this point so we'll need to deal with the current behaviour for
a long time.

Fix #34304.

machine: introduce io.systemd.MachineImage.SetPoolLimit (#35953)

This PR introduces io.systemd.MachineImage.SetPoolLimit method which is
alternative to DBus's SetPoolLimit.

This is last function for org.freedesktop.machine1 Dbus interface

nspawn: trivial scope reduction

tools/fetch-distro: support the case where the sources are in a subdirectory

If the GIT_SUBDIR environment variable is set, do not checkout the full sources
of the git repository, but perform a sparse checkout of the directory containing
the package. In this case, check only the commit history in this subdirectory.

ci: Stop archiving packages

This takes up a lot of storage space and we're almost hitting the
limit so since nobody's actually using these and we just started
doing nightly builds in OBS, let's drop this and point people towards
OBS for nightly packages in the future.

ptyfwd: fix wrong userdata passed to PTY forwarding

Fixes #35942.

string-util: make strjoin() just a special case of strextend() (#36011)

This is split out of #36010, but makes a ton of sense on its own.

user-record-show: use word 'show' not 'dump' for helper call

The key functions and the file itself use the word "to show" here, this
helper should really stick to that nomenclature.

missing: add quotactl_fd() wrapper

bus-wait-for-jobs: fix table of service result codes (#35992)

pam-systemd: talk to logind via varlink

This makes sure we now use Varlink per default as transport for
allocating sessions.

This reduces the time it takes to do one run0 cycle by roughly ~10% on my
completely synthetic test setup (assuming the target user's service
manager is already started)

The D-Bus codepaths are kept in place for two reasons:
* To make upgrades easy
* If the user actually sets resource properties on the PAM session we
  fall back to the D-Bus codepaths, as we currently have no way to
  encode the scope properties in JSON, this is only supported for D-Bus
  serialization.

The latter should be revisited once it is possible to allocate a scope
unit from PID1 via varlink.

logind: add basic Varlink API

For now this only covers CreateSession() and ReleaseSession(), i.e. the
two operations pam_systemd cares about.