address linter complaints.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17665 from miodvallat/donotarguewithme

auth: missing html escaping in webserver

Merge pull request #17663 from miodvallat/metadata_roulette

auth: perform validation of metadata name before querying the backend.

Config stuff and more cases of binding

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Trying to send with itf assignment.

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

More plumbing

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Initial plumbing, untested but should be no-op

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #17668 from rgacogne/ddist-210-changelog-secpoll

dnsdist: Update ChangeLog and security polling for 2.1.0

dnsdist: Update EOL statement now that 2.1.0 has been released

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

spell-checker: Allow armhf, Cao (contributor) and RUSTFLAGS

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Make pattern2SQLPattern an internal implementation detail. NFC

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

dnsdist: Update ChangeLog and security polling for 2.1.0

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17580 from PowerDNS/dependabot/github_actions/actions/checkout-7

build(deps): bump actions/checkout from 6 to 7

Merge pull request #17574 from PowerDNS/dependabot/pip/regression-tests.recursor-dnssec/cryptography-48.0.1

build(deps): bump cryptography from 48.0.0 to 48.0.1 in /regression-tests.recursor-dnssec

De-inline {allocate,free}Statements. NFC

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Do not compile list_directory() if dnsdist, too large a can of worms.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Provide a more accurate error when stat() fails.

Fixes: #9090
Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Factor out code responsible for gathering files in a directory.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Be sure to properly escape server parameters when displaying them as html.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Perform validation of metadata name before querying the backend.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17654 from rgacogne/ddist-add-tests-for-dnsaction.pool

dnsdist: Add regression tests for the use of `DNSAction.Pool`

More input validation in Lua createreverse4.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

More input validation in Lua createreverse.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17661 from bluikko/patch-1

docs: fix RST syntax in changelog/5.1.rst

docs: fix RST syntax in changelog/5.1.rst

RST syntax is rendered verbatim in the document due to roles missing first colon.

Signed-off-by: Ville Ojamo <14869000+bluikko@users.noreply.github.com>

Introduce a symbolic constexpr for maximum label length. NFC

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17659 from omoerbeek/rec-rust-lto

rec: Set Rust LTO mode automatically, and allow setting RUSTFLAGS, rec edition

Merge pull request #17656 from pieterlexis/auth-changelog-soa-spread

Auth: add SOA Edit Spread docs

Merge pull request #17658 from omoerbeek/rec-coverity-20260630

rec: two Coverity reports: Variable copied when it could be moved

Fix timing attack and broken unblock in external dynblock guide

Replace naive ~= API key comparison with constant-time safeEquals().
Fix unblock handler: duration=0 is rejected by addOrRefreshBlock when
an active block has a later expiry. Use getDynamicBlocks + clearDynBlocks
+ re-add pattern instead.

Signed-off-by: Jacob Masse <jacob@traztech.ca>

docs(dnsdist): fix spell check failures

- Replace 'SIEM' with 'monitoring platform' to avoid unrecognized word
- Add 'cjson' and 'dynunblock' to spell check expect list

Signed-off-by: Jacob Masse <jacob@traztech.ca>

docs(dnsdist): add webhook-triggered dynamic blocks guide

Add a new section to the dynamic blocks guide showing how to use
registerWebHandler to expose HTTP endpoints that let an external
detection system insert and remove dynamic blocks via simple POST
requests. Includes working Lua handlers, curl examples, and a
security note about ACL and TLS.

Signed-off-by: Jacob Masse <jacob@traztech.ca>

rec: Set Rust LTO mode automatically, and allow setting RUSTFLAGS, rec edition

Copied from #17639

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Apply suggestions from code review

Co-authored-by: Peter van Dijk <peter.van.dijk@powerdns.com>
Signed-off-by: Pieter Lexis <pieter@plexis.eu>

rec: two Coverity reports: Variable copied when it could be moved

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

dnsdist: Implement missing connection metrics for QUIC frontends

This commit adds the following metrics for QUIC frontends:

- average queries per connection
- average duration per connection
- average IOs per connection
- concurrent connections
- max concurrent connections
- new TLS sessions
- resumed TLS sessions

These metrics are currently reported as TCP metrics, which is not right and will
have to be refactored in the future.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

docs(auth): fix formatting of a security advisory

docs(auth): Add more info about SOA edit spreading

dnsdist: Add regression tests for the use of `DNSAction.Pool`

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17640 from rgacogne/coverity-fix-ninja-build

coverity: Add missing argument to `ninja`

Merge pull request #17639 from edmonds/rust-meson-options

dnsdist: Set Rust LTO mode automatically, and allow setting RUSTFLAGS

Merge pull request #17648 from pieterlexis/dnsdist-fix-copy

fix: use reference in loop

fix: use reference in loop

Merge pull request #17638 from Habbie/science-fiction

auth-5.1.3 changelog and secpoll

coverity: Add missing argument to `ninja`

If the third time is the charm, what's the fourth?

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

build(deps): bump actions/checkout from 6 to 7

Bumps [actions/checkout](https://github.com/actions/checkout) from 6 to 7.
- [Release notes](https://github.com/actions/checkout/releases)
- [Changelog](https://github.com/actions/checkout/blob/main/CHANGELOG.md)
- [Commits](https://github.com/actions/checkout/compare/v6...v7)

---
updated-dependencies:
- dependency-name: actions/checkout
  dependency-version: '7'
  dependency-type: direct:production
  update-type: version-update:semver-major
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #17624 from hhoffstaette/dnsdist-ca-missing-lua-methods

dnsdist: add missing ComboAddress functions to Lua bindings

Merge pull request #17636 from rgacogne/fix-rec-ddist-coverity-really

coverity: Fix dnsdist and rec builds (really, this time!)

dnsdist: meson: Add option to set RUSTFLAGS for Cargo build

meson appears to sanitize the environment variables that are passed
into `custom_target` command invocations, so it doesn't appear to be
possible to set the `RUSTFLAGS` environment variable in a `meson setup`
invocation and have it actually be passed to the Cargo build.

It would be nice to be able to set `RUSTFLAGS` to a custom value,
much as it is nice to be able to set `-Dc_args=` and `-Dcpp_args=` in
order to set specific optimization flags. For instance, I'd like to
set `-march=x86-64-v3` in `c_args` and `cpp_args` so that the C/C++
compilers target modern AMD64 CPUs, and also set `RUSTFLAGS` to `-C
target-cpu=x86-64-v3` so that the Rust compiler also targets modern
AMD64 CPUs. (According to `rustc --print target-cpus` the default target
CPU for rustc 1.96.0 is apparently the original baseline x86-64.)

There are other relevant settings that can be passed via `RUSTFLAGS`
such as `-C codegen-units=1` [0], which can optimize Rust LTO
builds further, as well as `-C linker-plugin-lto` [1] which can
perform LTO across the C/C++ and Rust language boundary, although
linker-plugin-based LTO requires the user to carefully ensure that
compatible versions of Clang/LLVM/LLD/Rustc are being used.

[0]: https://doc.rust-lang.org/rustc/codegen-options/index.html#codegen-units

[1]: https://doc.rust-lang.org/rustc/linker-plugin-lto.html

Signed-off-by: Robert Edmonds <edmonds@users.noreply.github.com>

dnsdist: meson: Automatically plumb LTO setting into Cargo build

meson has built-in options that control whether an LTO build is
performed [0], but these settings only affect the C/C++ code that is
compiled by meson, and not the Rust code compiled by the external Cargo
invocation.

Cargo supports several LTO modes [1] like "thin" and "fat" which have to
be expressed as Cargo profile settings. Custom profiles could be defined
in the Cargo.toml file containing the desired LTO settings, but as there
are already some existing dependencies on whether the Cargo profile
is set to "release" or "dev", it looks like the easiest thing to do is
to express a Cargo profile override for the currently selected profile
using the `cargo --config` command-line syntax [2].

This commit adds a `rust-lto` meson option (defaulting to true). If
true, it examines the meson `b_lto` and `b_lto_mode` settings and
determines whether the Cargo build should be overridden to Rust LTO mode
"fat" (if b_lto is true and b_lto_mode is "default") or to Rust LTO mode
"thin" (if b_lto is true and b_lto_mode is "thin").

The previous behavior where the meson LTO options would not affect the
Cargo build can be selected by specifying `-Drust-lto=false` to meson.

[0]: https://mesonbuild.com/Builtin-options.html#base-options

[1]: https://doc.rust-lang.org/cargo/reference/profiles.html#lto

[2]: https://doc.rust-lang.org/cargo/reference/config.html#command-line-overrides

Signed-off-by: Robert Edmonds <edmonds@users.noreply.github.com>

auth-5.1.3 changelog and secpoll

Add missing ComboAddress functions to Lua bindings

Add toStringReversed()/toStringNoInterface() Lua bindings just as
in dnsdist.

Signed-off-by: Holger Hoffstätte <holger@applied-asynchrony.com>

Merge pull request #17568 from miodvallat/cantally

auth api: get the number of rrsets of a zone

dnsdist: add missing ComboAddress functions to Lua bindings

iputils.hh implements toStringReversed & toStringNoInterface, but they
were not exposed to Lua:

 > ca4=newCA("192.168.100.200")
 > ca4:toStringReversed()
 200.100.168.192
 > ca6=newCA("fd39:8628:558:0:62b5:8dff:fe1e:d8a8")
 > ca6:toStringReversed()
 8.a.8.d.e.1.e.f.f.f.d.8.5.b.2.6.0.0.0.0.8.5.5.0.8.2.6.8.9.3.d.f
 > ca6if=newCA("fe80::1ff:fe23:4567:890a%eth0")
 > ca6if:toStringNoInterface()
 fe80::1ff:fe23:4567:890a

Signed-off-by: Holger Hoffstätte <holger@applied-asynchrony.com>

coverity: Add missing `REPO_HOME` env var for the recursor build

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

coverity: Set `BUILDER_VERSION`

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

coverity: Fix wrong c/p from another workflow that uses a build matrix

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17635 from rgacogne/ddist-fix-default-ecs-source-prefix-v4

dnsdist: Fix the default value for IPv4 ECS source prefix

Merge pull request #17634 from rgacogne/fix-rec-ddist-coverity

coverity: More fixes to build dnsdist and rec (pip deps, Rust for rec)

dnsdist: Fix the default value for IPv4 ECS source prefix

The wrong default caused any value set via YAML to be ignored.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

coverity: More fixes to build dnsdist and rec (pip deps, Rust for rec)

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17622 from miodvallat/ueberlua

auth: minor lua fixes

Merge pull request #17626 from rgacogne/fix-rec-ddist-coverity

coverity: Fix dnsdist and rec scans

Merge pull request #17625 from miodvallat/structured_testing

auth: enable structured logging in some tests

Merge pull request #17586 from miodvallat/auth-api-generic-type

auth REST API: escaping issue with generic record syntax

coverity: Fix dnsdist and rec scans

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Enable structured logging in many tests (but not all).

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Add missing lookupEnd if Lua record execution gives satisfaction.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Keep the structured logger for Lua records in the per-execution context.

Prior to this change, the structured context would be kept in a capture and
hold the logger used for the first Lua code execution, and could be outdated
or not precise enough when multiple threads are used.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

rec: Apply Miod's optimization to the aggressive NSEC cache

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

rec: Fix invalid NSECs used in our unit tests

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

rec: Add more comments to validateWithKeySet

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17620 from miodvallat/kantspel

hide the fact that we can't spell

Merge pull request #17606 from rgacogne/ddist-ywh-231

dnsdist: Properly handle bogus DATA frame for DoH3 GET streams

typos

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Allow for a few more words

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Let the API return the number of records in zone details.

Also, allow the record count to be obtained without the record contents.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17587 from miodvallat/record_obesity

Reject numerical record type values which do not fit in 16 bits

Merge pull request #17570 from miodvallat/apimandias

auth api: allow forced update for EXTEND and DELETE zone patch operations

Merge pull request #17300 from miodvallat/too_much_ent_ropy

auth: technical depth reduction in rectifyZone

Merge pull request #17583 from Habbie/soa-edit-jitter-longer-test

soa-edit-spread test: start measuring earlier

dnsdist: Apply Pieter's suggestion

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Be more consistent when processing DoH3 headers

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Properly handle bogus DATA frame for DoH3 GET streams (YWH-PGM6095-231)

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

sigh-tidy

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17607 from rgacogne/ddist-edns-smuggling-ywh-259

dnsdist: Check the owner name when parsing an OPT record

Merge pull request #17604 from rgacogne/ddist-ixfr-soa-leak-outgoing-connection

dnsdist: Better handling of invalid SOA in IXFR queries

Merge pull request #17603 from rgacogne/ddist-469

dnsdist: Fix out-of-bounds read in SetMacAddrAction

Merge pull request #17601 from rgacogne/ywh-213

dnsdist: Fix handling of trailing whitespaces in base64 content

Merge pull request #17600 from rgacogne/ddist-ywh-201

dnsdist: Sanitize DNS names before passing them to prometheus

Merge pull request #17609 from omoerbeek/rec-priv-ywh-290-edns-vs-dnssec

rec: If EDNS is mandatory, do it always in the first iteration (#YWH-PGM6095-290)

Merge pull request #17608 from omoerbeek/rec-priv-ywh275-zonemd

rec: check RRSIG record is valid in zonemd before processing further (#YWH-PGM6095-275)

Merge pull request #17605 from omoerbeek/rec-priv-ywh-264-xfr-soa

rec: With catalog zone transfers, check if SOA is defined before using

Merge pull request #17602 from omoerbeek/rec-priv-validate-qdcount2

rec: Reject (more) strange headers

Merge pull request #17599 from omoerbeek/rec-priv-ywh-274

rec: fix validation bypass for ZONEMD (part of YWH-PGM6095-274)

Merge pull request #17598 from omoerbeek/rec-priv-pc-ecs

rec: do not store ECS scope 0 carrying requests/replies in the packetcache

Merge pull request #17597 from omoerbeek/rec-priv-ztc-ywh-195

rec: Reject out of zone records

Merge pull request #17616 from omoerbeek/rec-sa-fix

Fix CVE ref

Fix CVE ref

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #17596 from omoerbeek/rec-prep-20260625

rec: Prep for rec 5.2.11, 5.3.8, 5.4.3