mount: optimize mountinfo traversal by decoupling device discovery

In mount_load_proc_self_mountinfo(), device_found_node() is synchronously called
during the traversal of mountinfo entries. When there are a large number of
mount points, and the device types are not significantly different, this results
in excessive time consumption during device discovery, causing a performance
bottleneck. This issue is particularly prominent on servers with a large number
of cores in IDC.

This patch decouples device discovery from the mountinfo traversal process,
avoiding redundant device operations. As a result, it significantly improves
performance, especially in environments with numerous mount points.

Signed-off-by: Chen Guanqiao <chen.chenchacha@foxmail.com>
(cherry picked from commit 00ad3f02275b507a753495ace5e5f84cb38b604d)

man: `machinectl(1)`: Fix description of subcommand `poweroff`

(cherry picked from commit a41da1e7037dc36a601d3428343bbc7f0eed3e20)

man: `systemd-nspawn(1)`: Fix some typos

(cherry picked from commit f4e3c6e5b318d22a9c40144c6d52ae68a70c264c)

test: add test cases for timestamp with time zone

(cherry picked from commit 25999f868fe0e9684af7a364224ac42071b70f74)

time-util: copy input string before fork()

Fixes #34670.

(cherry picked from commit 6d3012bab4ce4c1ed260598d05b4e9f2ea471658)

time-util: fix parsing timestamp with NZ timezone

Fixes a bug caused by ef658a63f8163607d9e04f710cd26c0d36ff68ce.

(cherry picked from commit eb87d3e1e9210d9387536cc3ece4e32aacdc5009)

resolved: fix fastopen fallback

We should not invalidate the socket address size before we use it.

Fixes: #34579
(cherry picked from commit 5699e4c2d470a12c922c4b7c86a8987837911626)

mmap-cache: add some stats about files/windows/unused

Let's give some visibility into the ratio of files:windows:unused
by the time we're done using the cache.

(cherry picked from commit 284802c597aa0194dc1504db65ee24941d9721eb)

mmap-cache: enforce an unused windows minimum

With many fds the global windows count generally exceeds the
minimum.   This results in always reusing the unused entry if
there is one, which becomes a sort of degenerate case where we're
just constantly unmapping->mapping.

Instead let's try always have at least several unused windows on
the unused list before we resort to churning through it.

Fixes #34516

(cherry picked from commit 176f73272e6e3116caab3900eb553be54f520a68)

Merge pull request #34728 from DaanDeMeyer/backport-logging-improvements

Backport logging improvements to v256-stable

core: Log in more scenarios about which process initiated an operation

Exit/Reboot/Poweroff and similar operations are invasive enough that
logging about who initiated them is very useful to debug issues.

(cherry picked from commit acb0f501f4291efce82bcf89d4ad92b6a895f4fa)

core: Bump log level of reexecute request to notice

A daemon-reload is important enough to deserve logging at notice
level.

(cherry picked from commit 4ee41be82507348fbbc9d3ab28aae6330eb51663)

bus-util: Log more information when connecting to a bus socket fails

Let's log about which bus we're trying to connect to and what transport
we're using to do it.

(cherry picked from commit d8a77d55e6ad7f251ae0eb6758af6bba111095df)

test: drop removed SCSI passthrough feature

This feature has been deprecated since QEMU 5.0 and finally removed in
QEMU 9.1 [0] which now causes issues when running the storage tests on
latest Arch:

------ testcase_long_sysfs_path: BEGIN ------
...
qemu-system-x86_64: -device virtio-blk-pci,drive=drive0,scsi=off,bus=pci_bridge25: Property 'virtio-blk-pci.scsi' not found
E: qemu failed with exit code 1

[0] https://github.com/qemu/qemu/commit/a271b8d7b2f39275a05e49deb7c8edc20b7a8279

(cherry picked from commit cd57920fbf6a8f7769a82cfc9bebc12965de0199)

doc-sync: strip point release from version before uploading

We create subdirectories for each major release, but not for point releases
so strip the suffix if it is present

(cherry picked from commit 59e6059513ea53954176096152b8c04f20198cbf)

meson: bump version to 256.7

test: add test cases for --volatile= with -U

For issue #34254.

(cherry picked from commit 48878074d69a558484348f14e8887ce132938377)

nspawn: only remount /usr/ with idmap when --volatile=yes

The root directory is already mounted with a picked UID shift, hence
it is not necessary to remount with idmap. However, /usr/ is a bind-mount,
hence it must be remounted with idmap.

With this change, now '-U --volatile=yes' works fine.

Fixes #34254.

(cherry picked from commit 025be2361b3ee7cc3732fb3963d36b8583842064)

nspawn: mount /var/ after remount_idmap() when --volatile=state

Previously, remount_idmap() failed as /var/ was already mounted, thus
remounting (strictly speaking, unmounting old root directory) failed
with -EBUSY.

As tmpfs /var/ is mounted with picked UID shift, it should not be
remounted with idmap, but needs to be mounted after the root directory
being remounted.

This makes '-U --volatile=state' work as expected.

(cherry picked from commit 2c2511aa734c507e04e06d273b474acacac9d486)

nspawn: use strv_extend() and friends to build directories passed to remount_idmap()

No functional change, just refactoring and preparation for later change.

(cherry picked from commit 21cd84df6931a358714af9d1f8cc54b26fef1a39)

meson: tweak meson conditionalization for ssh{d,}_config drop-ins

Let's make sure "no" is an acceptable setting for these paths.

(cherry picked from commit a8ea7c19400363847bcd62f3b9ee533fbab0e658)

load-fragment: terminate the specifier table (#34421)

Otherwise an invalid specifier iterates over uninitialized data.

Fixes a bug introduced by 0b40688d1830abc6f59b1f1f67eccd757c23eb09 (v254).

(cherry picked from commit 32b8065e876c6f89f55b1bb30eeb442d3921fb3a)

various: correct laccess() error check

laccess is our own macro that uses RET_NERRNO.

(cherry picked from commit 7c1dd9e288047a69d4a6a6dd6585725410cfdadd)

Fix generator logging

log_setup() overrides the previously set log target again so we
can't use it in log_setup_generator().

Follow-up for aa976d87889ae22b7347787a1ebd03a31dcc0a9e

(cherry picked from commit b3ebd480d6674ce4f66200858c88557595713bd5)

mkosi: update debian commit reference

* cb00be93e5 Upstream profile: skip dh_strip_nondeterminism
* c948e192a8 autopkgtest: skip gdm3 on armel for smoke tests
* e12116becb initramfs-tools: ensure rules file exists before invoking chzdev
* c8904f67e9 Filter out zdev rules in the initramfs hook (LP: #2044104)
* 9967984fc8 salsa-ci: test the stage1 build profile
* 2c81f4a6cc d/e/checkout-upstream: undo quilt patches before switching debian branch
* e75197fa10 d/e/checkout-upstream: do not rebase on main when building stable branches
* 7989319bca Drop patch merged upstream
* b7127a0725 Depend on new linux-bpf-dev package where available
* 7966d2543f autopkgtest: use hint-testsuite-triggers to ensure other packages changes trigger our testsuite
* 777af76cae autopkgtest: run upstream test last
* f257c53fe3 Stop installing legaly pkla file in upstream CI too
* a4b54fd693 Use d/not-installed instead of manual removals
* e0fdbb4496 Stop shipping empty /etc/init.d directory
* 202c7fc8f9 Use debian/clean instead of override in d/rules
* ba81ea64a6 Drop redundant pot build
* 9152d0e064 autopkgtest: allow localectl in localed tests
* 319a078b8e Fix D-Bus policy for locale1 blocking
* 28daa8b37b Drop last patch, all merged upstream
* 7bf7bf6f4e Drop out-of-tree localed patch and use D-Bus policy instead
* 409028b7e6 Drop /etc/sysctl.d/99-sysctl.conf symlink
* 6f37d3cb3e d/e/checkout-upstream: switch packaging branch on upstream stable PRs
* b7e53c00b2 d/e/checkout-upstream: do not fail if rebase fails
* 1364bb81d4 d/e/checkout-upstream: fix shellcheck warnings
* 796d133b0c initramfs-tools: copy network drop-ins too

mkosi: mark test as skipped when QEMU crashes

On Ubuntu/Debian infrastructure QEMU crashes a lot, so mark the test
as skipped in that case as there's nothing we can do about it and
we shouldn't mark runs as failed

(cherry picked from commit 0d7f5a9ae6f5fc70c5ad23398c2b7a515e9b1982)

semaphore: do not build docs

There are other CI runs that build manpages, speed up build which is close to 1hr limit

(cherry picked from commit d58a904d35d3abcb7265b28b14aac596631e27d6)

semaphore: stop building and running extra unit tests

This slows down the build, which is often near the 1hr limit. There are
other jobs running the extra unit tests.

(cherry picked from commit 3bc5480bac474263881e4c5919d5cce0debf3c40)

Semaphore: switch from /tmp to /var/tmp to avoid disk space issues

Builds have been failing as we run out of space in /tmp/, move to
/var/tmp

(cherry picked from commit 0c7b5dad33ee01b7ff6b7a8c583a7e2c27ac0673)

test: set TEST_NESTED_KVM as default

(cherry picked from commit 5540c37bb8b275cb58b1c936ff701d1c80503e9b)

mkosi: Switch to Fedora 41

It's due for release soon and will fix the flakyness of TEST-58-REPART
so let's bump the Fedora 40 job to Fedora 41.

(cherry picked from commit 12a1b02b528e1802025fdc7e3ac9de9426a14391)

core: warn if a generator is world-writable

... because that is obviously a security risk.

(cherry picked from commit da32cac8a014ddf048fc7bad84dafdbc204d4dc8)

test: add test case for issue #34637

(cherry picked from commit 88d186e4829bc7ef4a4253fe2bf4857903bca830)

udev-node: skip stack directory creation for diskseq

The disk/by-diskseq symlink should not be shared with multiple block
devices. Hence, it is not necessary to create stack directory for the
symlink that manages which device owns the symlink.

This is not just a optimization.
If a service unit tries to mount a disk image but the service fails, then
the diskseq of the loop device for the image may be continuously increased
during restart, and inodes in /run may increase rapidly, as the stack
directories are cleaned up only when udev queue is empty.

Fixes #34637.

(cherry picked from commit 09373c1a50297079e6b0447ea97af4e9a60f77fa)

Use case insensitive comparison for the machine's architechture

boot loader specification states:

architecture: refers to the architecture this entry is for. The argument
should be an architecture identifier, using the architecture vocabulary
defined by the EFI specification (i.e. IA32, x64, IA64, ARM, AA64, …).
If specified and it does not match the local system architecture this
entry should be hidden. The comparison should be done case-insensitively.

Example: architecture aa64

https://uapi-group.org/specifications/specs/boot_loader_specification/#type-1-boot-loader-entry-keys
(cherry picked from commit f819a516dbbddb16724f33dcef5badcb6fe8b80b)

test: Add test for per-device cgroup properties

Reported in #34126

(cherry picked from commit 321637743313f896e275fd038996b8cfb5a070b3)

chase: Fix shortcut

We can't shortcut chaseat() if CHASE_PARENT is set.

(cherry picked from commit 87333bd1dc69195b93e9aee9b91c06fb167b152e)

repart: Don't copy root directory mode from source file

If the source is a file, don't copy the mode and such from it to
the root directory, even if the target is /.

(cherry picked from commit 413d3ce1b76b42ba691eea54cd1704b14602442e)

man: Use proper conjunction and remove superfluous or

(cherry picked from commit 56f32d9e782f8ba43f17cb04687c915a7e41d10e)

repart: Handle empty arg_copy_source in file_is_denylisted()

(cherry picked from commit 7cd56ec9515a7ffc4edbd7d10ab7d001129abf57)

man: consolidate list of active unit states into a shared table

Avoids the need to maintain the same list over and over again, and
link it to the defition table in the implementation as a reminder
too

(cherry picked from commit 3509fe124d3a4fe2934028f83ae156ade050c8fe)

repart: open target devices before UUID creation

This is to ensure that the UUIDs from the CopyBlocks= devices are copied
to the corresponding new partition instead of creating a new UUID for
it. With this verity partitions can be copied, keeping their UUIDs to
ensure that they still match up with what is specified in roothash=.

(cherry picked from commit f106fd2dbdbd9debfc2d2ed4d96ae3108a29c79b)

homectl: fix inverted table footer condition

Fixup for 2413a0fab4fdad7eef3ce1d4b57664be5795b002.

(cherry picked from commit 3be87dca031956bc0f7744d0bb9e1fea04acd945)

nsresourced: Fix declaration of bpf_rdonly_cast()

Fixes compilation error

"""
[780/3171] /usr/bin/clang -std=gnu11 -Wno-compare-distinct-pointer-types -fno-stack-protector -O2 -target bpf -g -c -D__aarch64__ -I. -isystem /usr/include/ -idirafter /usr/include ../src/nsresourced/bpf/userns_restrict/userns-restrict.bpf.c -o src/nsresourced/bpf/userns_restrict/userns-restrict.bpf.unstripped.o -I/usr/src/kernels/6.11.1-0.hs1.hs+fb.el9.aarch64
FAILED: src/nsresourced/bpf/userns_restrict/userns-restrict.bpf.unstripped.o
/usr/bin/clang -std=gnu11 -Wno-compare-distinct-pointer-types -fno-stack-protector -O2 -target bpf -g -c -D__aarch64__ -I. -isystem /usr/include/ -idirafter /usr/include ../src/nsresourced/bpf/userns_restrict/userns-restrict.bpf.c -o src/nsresourced/bpf/userns_restrict/userns-restrict.bpf.unstripped.o -I/usr/src/kernels/6.11.1-0.hs1.hs+fb.el9.aarch64
../src/nsresourced/bpf/userns_restrict/userns-restrict.bpf.c:27:7: error: conflicting types for 'bpf_rdonly_cast'
   27 | void *bpf_rdonly_cast(void *, __u32) __ksym;
      |       ^
/usr/src/kernels/6.11.1-0.hs1.hs+fb.el9.aarch64/vmlinux.h:143063:14: note: previous declaration is here
 143063 | extern void *bpf_rdonly_cast(const void *obj__ign, u32 btf_id__k) __weak __ksym;
        |              ^
1 error generated.
"""

(cherry picked from commit 33f1c5287f6c5b1b02324bbbb5aafb27d34b00cb)

man: using WantedBy=default.target is not a good idea

We had several users, that wrote their unit files with
WantedBy=default.target because it should be started "every time".
But for example in Fedora/CentOS/RHEL, this often breaks for
example selinux relabels (where we just want to do a relabel and reboot).

(cherry picked from commit 67b6404b80cf8078f3d9ec6d4c2f34ac25b15077)

mkosi: Stop installing bpftrace

bpftrace nudges the Fedora Rawhide images towards compiler-rt18 while the
sanitizer builds pull in clang19, leading to the sanitizer libraries
not being found at runtime. Let's drop bpftrace for now so that compiler-rt19
is pulled in in the main image.

(cherry picked from commit d98b6c66ffaccbef1c86fc729f2f9601bfb02fd5)

mkosi: Pass ASAN_OPTIONS to subimages

systemd built with sanitizers is installed in subimages and tools
might get invoked in postinstall scripts so we have to disable ASAN
in the subimages as well during the image build.

(cherry picked from commit 345a4fcbb6ed16ab19d0d5b0c7344e5cdfe29efd)

mkosi: Don't sync if the packaging specs repo is dirty

(cherry picked from commit 9c7762c943bd5612f02a93b2ec986141fcb5226d)

tree-wide: Fix Wformat warnings

The latest clang has started catching more integer promotions which
cause us to pass the wrong type to printf() format specifiers so let's
fix those.

(cherry picked from commit c73d14c43e7998ca54011875ad25afc634d57498)

man: drop reference to /bin/ from docs regarding binary search path

We don't support "split /usr" systems anymore, hence no point in
mentioning /bin/ anymore as being part of the binary search path.

(cherry picked from commit f39e66b85a4a97818a618758e34019d052aeb772)

man: soft deprecate use of ";" for separating multiple command lines in ExecStart=

So far we supported this syntax:

    ExecStart=foo ; bar

as equivalent to:

    ExecStart=foo
    ExecStart=bar

With this change we'll "soft" deprecate the first syntax. i.e. it's
still supported in code, but not documented anymore.

The concept was originally added to make things easier for 3rd party
.ini readers, as it allowed writing unit files with a .ini framework
that doesn't allow multiple assignments for the same key. But frankly,
this is kinda pointless, as so many other of our knobs require the
double assignment.

Hence, let's just stop advertising the concept, let's simplify the docs,
by removing one entirely redundant feature from it.

Replaces: #34570
(cherry picked from commit 225f18b9a9d39331ea862478ab2ff893678e249d)

tree-wide: always do dlopen() with RTLD_NOW + RTLD_NODELETE

Let's systematically use RTL_NOW|RLTD_NODELETE as flags passed to
dlopen(), across our codebase.

Various distros build with "-z now" anyway, hence it's weird to specify
RTLD_LAZY trying to override that (which it doesn't). Hence, let's
follow suit, and just do what everybody else does.

Also set RTLD_NODELETE, which is apparently what distros will probably
end up implying sooner or later anyway. Given that for pretty much all
our dlopen() calls we never call dlclose() anyway, let's just set this
everywhere too, to make things systematic.

This way, the flags we use by default match what distros such as fedora
do, there are no surprises, and read-only relocations can be a thing.

Fixes: #34537
(cherry picked from commit bd4beaa2ebfbbec0a1263a7091a91e528ce8cf13)

build(deps): bump systemd/mkosi

Bumps [systemd/mkosi](https://github.com/systemd/mkosi) from 2c9954fa51a3a995bbdc02db6ef51f5bd27bc1ba to 3454f7bd4ef0336ec80a117d593baaef0fe53398.
- [Release notes](https://github.com/systemd/mkosi/releases)
- [Commits](https://github.com/systemd/mkosi/compare/2c9954fa51a3a995bbdc02db6ef51f5bd27bc1ba...3454f7bd4ef0336ec80a117d593baaef0fe53398)

---
updated-dependencies:
- dependency-name: systemd/mkosi
  dependency-type: direct:production
...

Signed-off-by: dependabot[bot] <support@github.com>
(cherry picked from commit 6aed4876e8bd74c6814a6d588b556d9f0ab1f021)

bpf: fix cross build failure on Debian

For compiling bpf code, the system include directory needs to be
constructed. On Debian-like systems, this requires passing a multiarch
directory. Since clang's -dump-machine prints something other that the
multiarch triplet, gcc was interrogated earlier, but that also yields a
wrong result for cross compilation and was thus skipped resulting in
clang not finding asm/types.h.

Rather than, -dump-machine we should ask for -print-multiarch (which
rarely differs). Whenever gcc is in use, this is right (even for cross
building). Since clang does not support -print-multiarch and its
-dump-machine never matches Debian's multiarch, we resort to asking gcc
when building natively. For cross builds using clang, we are out of
luck.

(cherry picked from commit 608009dc6218f7c41420f665586f2449b64a08f7)

Update sd_bus_message_append_array.xml

fix pointer constness in documentation

(cherry picked from commit fec09ff094670a6903b12b1c599b00b39a2b0c88)

Add %posttrans versions of the systemd %postun scriptlets

On upgrades, only the %postun scriptlets of the old package version
run. This means that any changes related to restarting daemons require
two releases before they're actually used.

%postun is used because it runs after the old package has been removed,
which is important as it means any lingering dropins from the old package
will have been removed as well.

To allow deploying fixes in just a single release while still running after
the old package has been removed, let's introduce %posttrans versions of these
scriptlets as %posttrans of the new package runs on upgrade and install after
the old package has been removed.

(cherry picked from commit 9fd8a9dffe9b8f29da52e4e1481926bceed5ce6c)

systemd-integritysetup: accept integrity-algorithm=xxhash64

Signed-off-by: Daniel Dawson <danielcdawson@gmail.com>
(cherry picked from commit 0c96911afb67fc1632866548efe151f6f10191b0)

man: add a comment that inode type policy might be enforces via an LSM or similar

Just to tighten the language a bit, why people should care about where
they place their inodes.

(cherry picked from commit 5b53894123b9d01f5738b02befd4189625c5451f)

man: clarify that the defined file hiearchy is just a skeleton

(And specifically mention /usr/include + /var/spool as not covered here,
but being OK to add downstream)

(cherry picked from commit fd6e079e7b296696028c161224d2a86fce70726f)

man: drop /var/spool/ mention from file-hierarchy(7) man page

Today it seems this is mostly used by mail and printer servers, and it's
not clear to me at all what the property is that makes
/var/spool/<package> the better place for the relevant data than
/var/lib/<package>.

Hence, in the interest of shortening the spec, let's not mention the dir
anymore. In particular as the dir really isn't used by us much, for
example we do not have a counterpart for RuntimeDirectory=,
StateDirectory=, … that would cover the spool.

Since most systems these days we care about probably come *without* a
printer or mail server, let's maybe no mention this in the man page that
is supposed to discuss the rough skeleton how things are set up. After
all, people are supposed to exend the skeleton with their stuff, and
this sounds more like a case for an extension of the skeleton instead of
being considered part of the skeleton itself.

(cherry picked from commit b0201b36d2e0181d08530aaad496322812c4e77e)

man: drop mention of /usr/include/ from file-hierarchy(7) man page

The man page is supposed to provide a "generalized, though minimal and
modernized subset" (as per introductory pargapraghs), from a systemd
perspective. But the thing is that /usr/include/ really doesn't matter
to us. It's a development thing, and slightly weird (because it arguably
would be better places in /usr/share/include/ or so). It's not going to
be there on 95% of deployed systems, and we really don't want people to
bother with it on such systems.

We only define the skeleton of directories in this document, and it's
expected that people extend it, and I think this really should be one of
those dirs that is an extension of our skeleton, but not part of the
skeleton, if that makes any sense.

(cherry picked from commit 9e7b691073922433a71cf49dcaaf7f9f61f58e6d)

logind-dbus: really cancel scheduled shutdown

Fixes #34554

(cherry picked from commit cd9c3327cbc936fc7e3a07d12b94328586ccfbaa)

repart: Apply denylist to individual files as well

(cherry picked from commit 0bbe63fc66a7cf47fa0f4b9a0f4579e3d7cf2e1e)

systemctl: fix printing of RootImageOptions

The type is a(ss), so a custom printer is required.

Fixes https://github.com/systemd/systemd/issues/33967.

(cherry picked from commit 69c751c61cb2b386afe51f03b58f8f7ceeeb643e)

seccomp-util: include @sandbox in @default

Every services and containers should be able to protect their users and
limit the impact of security bugs thanks to the security syscalls
provided by seccomp and Landlock.  The goal of these syscalls is to
improve security with additional restrictions.  They are designed to be
safely used by unprivileged (and then potentially malicious) users.

Remove the now-redundant "seccomp" entry for nspawn.

(cherry picked from commit e9966634754b8c9ee3f3c579f25d938e185c282e)

man: fix formatting in file-hierarchy

Somebody wrapped the text, but whitespace is preserved in <programlisting>, so
the output was mangled. It also doesn't make sense to run systemd-path as root
(as indicated by '#'), so drop that. Also, this chunk should be a separate
paragraph.

(cherry picked from commit 1ca81b2e005ccef6e9ddf06c3e3441bae0a6e1d5)

mkosi: update arch commit reference

* d5a2dc54da Use vmlinux.h from linux-headers
* 59912d804f update checksums...
* 83edb5244e build: set ssh privsep dir to /usr/share/empty.sshd
* 65363cc5ba build: explicitly enable vmlinux-h=generated
* 14e6d27dd4 build: drop deprecated default-hierarchy option
* 81e7545ca3 systemd.install: stop applying ACL ourselves
* 147c214201 systemd-hook: use systemd-notify --booted to detect if systemd is running
* 010bc3c05c upgpkg: 256.6-1: new upstream release

(cherry picked from commit 5acca1b88551633c91ae602351f9a23af178ce6b)

Fix reference to FileDescriptorStoreMax= directive

(cherry picked from commit 543015a164c1fbf22c13c357efb180cf1adc5f03)

machine: resolve race condition in TEST-13-NSPAWN.machinectl.sh

I encountered this race condition while working on TEST-13-NSPAWN.varlinkctl.sh.
The long-running machine's init script sometimes does not have time to start and
register signals. As result, occasiounally failed tests.

(cherry picked from commit e826a8bed447f3b3f9ad487f96ab7f8c7620c75b)

creds: fix cat with encrypted credentials

Fixes: https://github.com/systemd/systemd/issues/34547
(cherry picked from commit 32951fe4de683f5d42cec2fb2e036f766b051e2b)

repart: Determine verity sig size based on partition designator

Verity= is an image build concept, not a first boot concept, whereas
a partition designator is always available, so let's do the size stuff
based on that.

(cherry picked from commit e11745d000d7e9b3112bb336735c1bdfa77e9add)

core/cgroup: Apply IODevice*= directives in configured order

Different device paths may resolve to same device node
(lookup_block_device()), e.g.
        IOReadBandwidthMax=/dev/sda1 18879
        IOReadBandwidthMax=/dev/sda2 18878
where both partitions resolve to /dev/sda and when these values are
applied (they are associated with original paths, i.e. as if applied for
different device) in the order from io_device_limits.

The parsing code prepends, so they end up in reverse order wrt config
file. Switch the direction so that the order of application matches the
order of configuration -- i.e. semantics in all other unit file
directives.

Apply same change to all directives that use per-device lists. (The
question whether partitions should be resolved to base device is
independent.)

And apply the changes equally to DBus properties write handlers.

Fixes #34126

(cherry picked from commit 0fa0dfa04465651a18107d503f9967f84bd761d1)

core/cgroup: cache IO accounting data when pruning a cgroup

When removing a cgroup in unit_prune_cgroup(), read IO metrics to cache
them similar to the existing treatment of the CPU and memory usage data.

Note that we do not do this for the IP metrics as the firewall objects
are only destroyed in unit_free() and thus stay alive long enough to
be read out directly by all interested parties.

Fixes #26988.

(cherry picked from commit 17bbdefd8c49617d7596bbf708c818a9773a9b44)

core/cgroup: drop `allow_cache` parameter in `unit_get_io_accounting()`

The name of the parameter is misleading and it does not save us much
work because it is not used during regular unit property queries.
It is only used during unit_log_resources(), and the cgroup is already
dead by that point so it won't be read anyway.

(cherry picked from commit a0020ad84bb092fc72cde7dca5784a0a4e613fd7)

man: say that SYSEXT_SCOPE=initrd also applies to exitrds

We generally do _not_ want the same sysexts to be loaded in both initrd and
exitrd phases. The environment is completely different and it's unlikely that
the same code can be useful in both places. Nevertheless, it can be useful in
_some_ cases, for example when the sysexts contains debugging tools.

I think we don't need to differentiate between initrds and exitrds through
SYSEXT_SCOPE, because the two types are made available in completely different
locations and loaded through a different mechanism, with very little chance of
an initrd being loaded as an exitrd without an explicit admin action (or the
other way around). So let's not complicate our code or definitions by an
explicit "exitrd" sysext designator, but just clarify that "initrd" also
encompasses exitrds in this context.

(cherry picked from commit 7352a0093f4ef96c361be22337cde3296d79da01)

man: slightly enhance docs about "exitrd" and remove TODO entry for it

The concept is fairly well established and present in our docs in various
places.

Say that the exitrd is also marked by the presence of /etc/initrd-release.

(cherry picked from commit ace26a511ff63dbc15f1b2b0b941cbd3294a288c)

repart: Add a log message when we're about to fsync().

(cherry picked from commit f3b8e81f5443fefb1dd2bb62d6b41c2559dca475)

mkosi: Add missing SPDX line

(cherry picked from commit 80d4ea44577e90beed49fcbb7c00538bf203dfbb)

mkosi: Add back support for running clangd within mkosi

This allows hacking on systemd without installing any build
dependencies except mkosi on the host machine.

(cherry picked from commit 6d862a9dc08285fffb9da29055235b5c9935dcf8)

machined: fix bogus error check for machine_link()

(cherry picked from commit 533c20ca5bd7002d8983b7d48f47ff78c25347c3)

Add an extra debug log to dissect_image()

(cherry picked from commit 0121b84e41cd187e44c275a23db1a656656ec37f)

mkosi: bump mkosi MinimumVersion

dbff64ddf06f64ab94bd314df27d6c089b75de52 bumped the hash to
a commit after 24.3, so let's tell the users that 25~devel is
the minimum required.

(cherry picked from commit 3a157e7cb4b1ec6fb822a014d67161ecfee546a2)

sd-ipv4acd: fix assertion triggered when an ARP received in STARTED state

When a network is busy, an ARP may be received before the timer event
source triggered first time.

Fixes #34489.

(cherry picked from commit 146b44d0a0001712ced2f22ca76d242eedac26ad)

boot: use INC_SAFE where appropriate

(cherry picked from commit 48837c65008a312810c4cad2789dd3fb7bc27488)

tmpfiles: ERRNO_IS_NOINFO -> _IS_NEG_, correct negative errno checks

(cherry picked from commit 755877f20a2e18d1a2c4149662c2caec80230879)

man: update PCR and Secure Boot key names and paths

(cherry picked from commit dbf5b09de40a9d22b67611524bea12feae657462)

test: add tests for seccomp_suppress_sync()

(cherry picked from commit c07e10628b6add9ee9664956a28d3f727c9848f8)

seccomp-util: pass negative fds as is to fsync() and friends

Closes #34478.

Co-authored-by: Mike Yuan <me@yhndnzj.com>
(cherry picked from commit 144fbbac235b6b89d5d31795be1cc0dca9852ccc)

test: Run TEST-74-AUX-UTILS in virtual machine

Various tests skip themselves when running in a container so make
sure the test runs in a virtual machine so we get full coverage.

(cherry picked from commit f4faac20730cbb339ae05ed6e20da687a2868e76)

man: fix typo

Follow-up for 8aee931e7ae1adb01eeac0e1e4c0aef6ed3969ec.

(cherry picked from commit 07e6a111c0c64b68147d940fabe4d3c4e63e1172)

ci: Don't add testuser to wheel and systemd-journal groups

This breaks TEST-74-AUX-UTILS when run in a VM as the user gets access
to journal files that the test expects it can't access.

(cherry picked from commit 1d5b4317cd0140c043495f946e5352b188f3bec0)

mkosi: Stop applying device groups patch on Arch

It stopped applying so let's stop applying it to make CI green again.

(cherry picked from commit cf94f513f055d04d2c46b25e30948ea12adbe25c)

mkosi: Disable makepkg PKGBUILD linting using the newly added environment variable

(cherry picked from commit 27a8a29e32fbfc9ca350f58b97ef70ce9e6ea988)

mkosi: supress error messages from git

When updating, I get a message like:
fatal: Not a valid object name a67221c3f0d0b81b9b5b3230a71d09044342f1a4^{commit}

The failure here is expected, it just means that an update is
necessary, so suppress output.

(cherry picked from commit 3f922abe49a14316aec87f8a8e2b0fe9ad4d5e52)

boot: Make initrd_prepare() semantically equivalent to combine_initrds()

Currently, trying to boot images with type 1 entries generated by mkosi
with qemu freezes in the kernel EFI stub. I'm not going to pretend I
understand what's going on, but when I reported a similar problem with
UKIs, the fix was to rework the code in combine_initrds() in the stub
to behave like it does today. It seems that same fix was never applied
to systemd-boot's combine_initrds() function, so let's do that now to
fix the freezes I've been seeing trying to boot images with type 1 entries
in qemu.

(cherry picked from commit f8fa4222c9ac3e74e91c64e25e9532c99559cf99)

portable: ensure PORTABLE_FORCE_ATTACH works even when there is a leftover unit

Force means force, we skip checks with PID1 for existing units, but
then bail out with EEXIST if the files are actually there. Overwrite
everything instead.

(cherry picked from commit 1e2d1a7202400e08a00782f32804fdc503259806)

test: mount ld.so.cache in minimal nspawn container if present

In some cases (SUSE Tumbleweed) this is needed as a library (libz) is
not in the default path, so it fails to run.

(cherry picked from commit 1e17e48b96bb509754a0a11ea8bd0394965564c6)

meson: bump version to 256.6

hwdb: update to main@{2024-09-10}

git restore -s origin/main hwdb.d/ test/hwdb.d

mkosi: Add back accidentally removed .gdbinit file

(cherry picked from commit b811b9addfa44dd076c6407649e74b7f016b583f)