more consistent dockerfiles

after some thought, perhaps a better fix

just shut up the analyzer

hoist checks to earlier

shut up clang scan

allow references to the "internal" dictionaries, too

remove requirements that "clone" be used only for struct/tlv

because when we clone structs/TLVs, we clone attributes of many
types.  So we might as well allow it here, too

do fast-path checks for errors

the error message is the same, but the difference is do we error
out immediately, or later, after all of the rest of the dictionaries
have been loaded.

the error is for this ref, not for all referenceS

look up reference using found dictionary, not default one

typo

remove unnecessary comments

add  --allow-mschapv2

add attribute from RFC

docker: update package repositories

Add fr_lst_entry_inserted() to permit heap->LST migration (#4178)

regenerate from raddb source

whitespace for standard formatting

updates for relaying, including sample config.

Untested, but (of course) it will work, right?

formatting

remove dhcpv4 here, too

don't ionclude dhcpv4 by default

it no longer has xlats

remove expansion documentation, it's no longer relevant

document new encoders

let's free encode_ctx, too

let's free vpt, too

some protocols have no libfreeradius-PROTO, so that's OK

increase buffer size

move to encode.dhcpv4, to use new framework

don't check dictionaries, it's no longer necessary

remove dhcpv4-specific encoder

add %{encode.PROTO:...}

remove decode_dhcpv4 xlat

rearrange and add "decode.internal" for the internal protocol

load the library for the internal dictionary, too

add protocol-generic decode routines

rearrange code and move to common function

in preparation for automatically defining "decode/encode" xlats
for all of the protocols

export dl_t from dict

add iterators for protocols

FreeBSD fixes and CI (#4177)

Use calloc(), not malloc() to allocate heap/lst elements from the (memory) heap (#4175)

malloc(), in the C standard and in the man page, is described as not
initializing the memory it allocates. A standard-conforming C compiler
could thus compile versions of the tests that fail fr_{heap, lst}_insert()
checks that keep an item from being inserted twice or into more than one
heap or lst with the same index displacement.

calloc() zeroes the allocated memory.

Fix connection pool with fewer connections than spare setting (#4174)

The number of connections in the connection pool was not increased
when it is less than the spare setting.
In v4.0.x, unlike v3.0.x, `pool->max_pending` is a configurable value,
with a default value of zero.
Therefore, in the default setting, the conditional expression
`pool->state.pending >= pool->max_pending`
always is true and the number of connections is not increased.

This commit fixes it by using `pool->pending_window`
instead of `pool->max_pending`.

fix this, too

make check items "const" for comparison

so that we catch issues like commit 653ed7b when compiling, and
not when the server crashes in production.

make local editable pair

the "check" item is actually "const".  So editing in place is not
a good idea.

fr_pair_cmp() should take "const"

rework connection management.

check is "const"

allocate from the request, which is thread-safe.  Helps with #3188

The "check" item is taken from the "huntgroups" file.  It's in
a statically allocated list which doesn't change, and shouldn't
change during run-time.  Allocating memory in its context is
not thread-safe, and can cause issues

Manual port of commit 7875ca06d1

Lst (#4169)

* Add leftmost skeleton tree API as a choice for priority queues

Relevant paper: "Stronger Quickheaps", Gonzalo Navarro, Rodrigo
Paredes, Patricio Poblete, and Peter Sanders, International
Journal of Foundations of Computer Science, November 2011.

* Remove flst

MySQL sqlippool SP: Run as invoker, not definer; close transaction on error (#4171)

In MariaDB/MySQL, stored procedures default to running in the context of
the definer rather than the invoker.

This is a problem in a streaming replication scenario since the definer
is often the root user who has the "super" power to write to a read-only
database (unless super-read-only is enabled, which is not available for
MariaDB), thus breaking the replication timeline.

Additionally, exiting an SP does not finalise any running transaction.
If an exception is raised within the SP (e.g. due to the database being
read-only) we must handle this and finalise the transaction, otherwise
subsequent calls to "SET TRANSACTION ISOLATION LEVEL READ COMMITTED"
will fail ad nauseam until the connection is finally closed.

set extra=0 only when min=max.  Fixes #4163

typo

formatting, and make it more consistent

Fix unnecessary periodic close/open in connection pools (#4161)

When "min" and "max" values of the connection pool setting were the same,
periodic connection closing and opening occurred.
It was different from the closing caused
"uses", "lifetime", and "idle_timeout" settings.
"spare" setting is not helpful since it is capped to zero
by "min" and "max" are the same.

The behavior of the issue is as follows.
When the number of connections was "max" and there was an idol connection,
it was closed without checking "min".
Then, the number of connections dropped below "min" due to the close.
Therefore, a new connection was opened immediately
and the number of connections reached "max"
since "min" and "max" were the same.
These occurred repeatedly.
So periodic close/open happened.

This commit fixes the issue
by adding the "min" check to prevent unnecessary closing connections.

Fix idle_timeout (#4155)

fr_pool_connection_release() recorded connection's last_reserved time
instead of last_released.
Since the last_released time of the connection was not updated,
the starting point of the idle_timeout was
always the connection opened time instead of the connection released time.

This commit fixes it.

Fix connection_check (#4154)

connection_check() in pool.c did not work
if more than 1 second has passed since the start of radiusd.
This commit makes the function works
as long as more than 1 second has passed since the last time it did work
by fixing a comparison operator.

v4: Convert %(unbound: ) to new xlat API (#4122)

* Remove un-needed char[] variables

* Define and initialise thread specific data for rlm_unbound

* Define xlat thread data for unbound

* Initialise unbound xlat thread data

* Add unbound_request_t to hold state of running unbound request

* Define xlat_unbound_callback() to be called when unbound event completes

* Define unbound xlat resume callback

* Define xlat_unbound_signal() for cancelling unbound requests

* Define new generic unbound xlat

* Remove old unbound xlats

* Remove un-used items from module inst and un-needed instantiate / detach

* Remove unused rrlabels_tostr()

Parsing of DNS labels done by functions from util/dns.c

* Remove un-used ub_common_fail()

* Add test for rlm_unbound

* Amend docs for unbound xlat

* Remove old unbound callback

* Remove un-used ub_common_wait()

* Always inform unbound when its timeout event happens

This is used for unbound to maintain its statistics about
rtt for given servers.

* Remove unused code

* Add timeout for unbound calls

The timeouts within unbound itself are on individual network calls.
This is our overall timeout on the whole resolution.

* Add resolvconf and hosts options to rlm_unbound

resolvconf - file name of a resolv.conf file to load
hosts - file name of a hosts file to load

* Add destructor for unbound_request_t to cancel pending requests

* Temporarily disable test which trips bug in libunbound

* Ensure ub_cancel() is not called after the request is completed

Remove remaining from heap_cycle() (#4149)

heap_cycle() calloc()s an array and frees it, but never uses it.

Fix other uses of TLS-Cert

Add simple fr_pair_debug function

Don't access data union if it's a structural attribute

Don't use abbreviations in attribute names

Fix trailing \0 in OID -> Attr conversion

Fix test

Populate randle request pointer

Pull URI escaping code into util library

We'll likely need this for utilities at some point

Fix comments for auth password logging. (#4135)

any better?

Fix close condition

Better one one line

'close' job does this better

v4: Define arguments for %(rest: ) xlat and parse / escape URIs (#4127)

* Define args for rest xlat

* Define xlat_uri_part_t - for defining parts of URIs for parsing

* Add xlat_parse_uri() to parse defined URI structures.

* Define url_part_escape() to escape part of a URI

* Define rest_uri_parts

* Update rest_xlat() to parse inbound boxes and escape tainted values

* Update syntax for %(rest: ) tests

* Add tests using inbound data for other parts of a rest URI

* Update documentation for %(rest: )

* Ensure we "exdent" before returning

* Add additional test cases for %(rest: )

* Make sure test web server handles different paths correctly

Make it clear what log output we want

Add client log output section

Minor tweaks

Mailto links don't work

Add security@freeradius.org  link

Fix link to bug report

Comma

Update instructions

Try adding line breaks...

See if we can formalise the "other" issue template more

Use the correct label

Fix required tags

Multiline placeholders don't work

Add more placeholder text

and another

Fix typo

Update and rename bug_report.md to bug_report.yml

s/tag/label

Use the close tag here too

We might actually want "other" for something

Still give users a chance to open an issue if they actually read the issue text

Try checking labels instead

Provide more helpful links, make formatting more consistent

Simplify issue links

Create close.yml

Add coccinelle semanthic patch mechanism (#3240)

It adds the new targets:

make coccinelle.help  - Print this
make coccinelle.clean - Clean up the build/coccinelle
make coccinelle.diff  - Print diffs for files which would be changed by coccinelle.patch
make coccinelle.patch - Apply Coccinelle patches to all source files in the tree.

manual port of ee32f2e9b

Removed the ability to pass NULL as data argument to fr_heap_extract(). (#4136)

It was set up to return fr_heap_pop() if passed NULL, but the only
users of that capability were in heap test code.