Uphold/StopWhenUnneeded/BindsTo: add retry timer on rate limit

The Upholds= promise is that as long as unit A is up and Upholds=B,
B will be activated if failed or inactive. But there is a hard-coded,
non-configurable rate limit for this, so add a timed retry after the
ratelimit has expired.

Apply to BindsTo= and StopWhenUnneeded= as well.

man: add util-linux to the package list for Fedora container

/bin/login is shipped in util-linux, however, systemd.spec on Fedora has
"Requires: (util-linux-core or util-linux)". If the dependency is
fulfilled just by installation of util-linux-core then users won't be
able to log in into the container after it boots. Let's add util-linux
package to the package list so that /bin/login is always present.

Merge pull request #27153 from poettering/varlin-fd-pass

varlink: implement file descriptor passing

Merge pull request #27212 from DaanDeMeyer/notify-exit

core: Propagate exit status via notify socket when running in VM

Merge pull request #27229 from poettering/dissect-policy-confext

dissect: follow-up for image policy merge

man: link to Fedora 37

Fedora 36 is a bit old at this point and will be EOL in about 6 weeks.
Fedora 38 is not out yet, so the cloud link wouldn't work.

Merge pull request #27217 from yuwata/boot-entry-at

boot-entry: introduce _at() variant

varlink: honour "sensitive" flag of json variant objects all the way into the socket

Let's honour the flag if it is set, just to be safe.

(This only handles the case for the writing side: whenever the client
code hands us a json object with the flag set we'll honour it till the
it's out of reach for us. This does *not* handle the reading side, which
is left for a later patch once needed. We probably should add a
per-connection flag that simply globally enables the sensitive logic for
all messages coming in on a specific varlink conneciton.)

test: add varlink fd passing test

varlink: implement file descriptor passing

Let's add infrastructure to implement fd passing in varlink, when used
over AF_UNIX.

This will optionally associate one or more fds with a message sent via
varlink and deliver it to the server.

varlink: add helper that clears the currently processed incoming message JSON object

Some minor refactoring. This adds a helper call whose only job is to
unref the JSON object of the currently processed incoming message.

This doesn't make too much sense on its own, given this just replaces
one line by another. However, in a later patch when we'll add fd passing
we'll extend the function to also destroy associated fds, and then it
will start to make more sense.

varlink: get rid of "reply" field

So far, if we do a synchronous varlink call from the client side via
varlink_call(), we'll
move the returned json object from "v->current" into "v->reply", and
keep it referenced there until the next call. We then return a pointer
to it. This ensures that the json object remains valid between two
varlink_call() invocations.

But the thing is, we don't need a separate field for that, we can just
leave the data in "v->current". This means VARLINK_IDLE_CLIENT state
will be permitted with and without v->current initialized. Initially,
after connection setup it will be set to NULL, but after the first
varlink_call() it will be set to the most recent response, pinning it
into memory.

varlink: add some comments explaining what by various errors are defined

core: Send ERRNO= via notify socket on exit

core: Propagate exit status via notify socket when running in VM

When running in a container, we can propagate the exit status of
pid1 as usual via the process exit status. This is not possible
when running in a VM. Instead, let's send EXIT_STATUS=%i via the
notify socket if one is configured. The user running the VM can then
pick up the exit status from the notify socket after the VM has shut
down.

notify: Add EXIT_STATUS field

Whenever one of our tools or daemons exits, let's send the exit status
via sd-notify in the EXIT_STATUS field.

sysext: define a default image dissection policy for confext images

discover-image: bring discover path list up-to-date.

While merge 3af48a86d99b3117a44bc22258ab4d34d0ba7655 was for a working
PR it was based on an older version of git main. Let's catch up with the
search path changes from de862276eddbbe76b436213b4d427205356d1886.

Fix compilation error

nspawn: container network interface naming

systemd-nspawn now optionally supports colon-separated pair of
host interface name and container interface name for --network-macvlan, --network-ipvlan and --network-interface options.
Also supported in .nspawn configuration files (i.e Interface=, MACVLAN=, IPVLAN= parameters).

man page changed for ntwk interface naming

Merge pull request #25608 from poettering/dissect-moar

dissect: add dissection policies

Merge pull request #27165 from poettering/fdstore-envvar

service: tell service processes that the fdstore is available via an e…

boot-entry: introduce boot_entry_token_ensure_at()

Merge pull request #27223 from dtardon/install-changes

Simplify use of bus_deserialize_and_dump_unit_file_changes()

Merge pull request #27220 from yuwata/sd-device-follow-ups-for-devlink

sd-device: several follow-ups about devlink creation

man: rebreak all of sd_notify(3)

No change of contents, just some rebreaking of the full file to match
our current line break settings.

service: tell service processes that the fdstore is available via an env var

systemctl: reduce variable scope

tree-wide: drop unneeded output params

Neither of the callers of bus_deserialize_and_dump_unit_file_changes()
touches the changes array, so let's simplify things and keep it internal
to the function.

Merge pull request #27033 from dtardon/array-cleanup

Use CLEANUP_ARRAY more

boot-entry: use chase_and_fopen_unlocked() to open /etc/kernel/entry-token

Otherwise, when 'root' is specified, the file may be a symlink to a host
file, and we may read wrong entry.

udev-test: add more testcases for SYMLINK

test: drop binary stripping stuff

Stripping the binaries in the test images makes potential stack straces
quite useless, so let's drop the stripping stuff to make test fails a bit
more developer friendly.

Related: https://github.com/systemd/systemd-centos-ci/pull/616

sd-device: absolute devlink must start with /dev/

This also makes device node path is handled with the same logic.

Addresses https://github.com/systemd/systemd/pull/27169#discussion_r1162739511.

Follow-up for 2c5f119c3cc78bd7da0c7c56b57eca43bac464c1.

boot-entry: prioritize machine ID only when it is not randomly generated

Preparation for later commits. The parameter will be used in
kernel-install later.

Merge pull request #27214 from DaanDeMeyer/firstboot

firstboot: Use root directory file descriptor for everything

Modified to use STRV_MAKE() in strv_env_name_is_valid() function listed in env-util.c

Merge pull request #27209 from jamacku/patch-1

Don't run release workflow on `systemd-security` & drop checkout action

systemctl: suppress error for try-* if unit is masked

Closes #16521

boot: Fix alignment of long long inside structs on x86

On x86 EFI follows the windows ABI, which expects 8-byte aligned long
long. The x86 sysv ELF ABI expects them to be 8-byte aligned when used
alone, but 4-byte aligned when they appear inside of structs:

    struct S {
        int i;
        long long ll;
    };

    // _Static_assert(sizeof(struct S) == 12, "x86 sysv ABI");
    _Static_assert(sizeof(struct S) == 16, "EFI/MS ABI");

To get the behavior we need when building with sysv ELF ABI we need to
pass '-malign-double' to the compiler as done by EDK2.

This in turn will make ubsan unhappy as the stack may not be properly
aligned on entry, so we have to tell the compiler explicitly to re-align
the stack on entry to efi_main.

This fixes loading EFI drivers on x86 that were previously always
rejected as the EFI_LOADED_IMAGE_PROTOCOL had a wrong memory layout.

See also: https://github.com/rhboot/shim/pull/516

ci: drop checkout from release workflow

It's not required as per comment - https://github.com/systemd/systemd/pull/27110#issuecomment-1499653913

ci: don't run release wf on `systemd-security`

portabled-image-bus: use CLEANUP_ARRAY

portabled-image-bus: use CLEANUP_ARRAY

portabled-image-bus: use CLEANUP_ARRAY

portabled-bus: use CLEANUP_ARRAY

sd-bus: use _cleanup_

sd-bus: use CLEANUP_ARRAY

execute: use CLEANUP_ARRAY

execute: use more automatic cleanup

hwdb: add matrix for Asus BR1100F (#27197)

execute: use CLEANUP_ARRAY

systemctl-set-default: use CLEANUP_ARRAY

systemctl-preset-all: shorten code a tiny bit

systemctl-preset-all: use CLEANUP_ARRAY

systemctl-enable: use CLEANUP_ARRAY

systemctl-add-dependency: shorten code a tiny bit

systemctl-add-dependency: use CLEANUP_ARRAY

portablectl: use CLEANUP_ARRAY

machinectl: do not repeat the same comparison

machinectl: drop unneeded else

machinectl: use CLEANUP_ARRAY

dbus-manager: use CLEANUP_ARRAY

firstboot: Use root directory file descriptor for everything

There were a few remaining cases where we used arg_root instead of
the root directory file descriptor. Let's port those over to use the
root directory file descriptor as well.

user-util: Add default_root_shell_at()

dbus-manager: use CLEANUP_ARRAY

Merge pull request #27186 from yuwata/os-release

os-util: several cleanups and introduce _at() variants of os-release parsers

Merge pull request #27169 from yuwata/udev-rule-refuse-unsafe-path

sd-device,udev: refuse unsafe path in SYMLINK= and TAG=

hwdb: fix ambiguous glob pattern for Lenovo machines

Fixes #27195.

Follow-up for a5c0ad9a9a2964079a19a1db42f79570a3582bee.

os-util: introduce several _at() variants of os-release parsers

os-util: make $SYSTEMD_OS_RELEASE prefixed with the root directory

To make it consistent with other env vars, e.g. $SYSTEMD_ESP_PATH or
$SYSTEMD_XBOOTLDR_PATH.

This is useful when the root is specified by a file descriptor, instead
of a path.

os-util: merge parse_{extension,os}_release()

os-util: invert order of arguments in extension release parser

For consistency with other functions.
Unfortunately, va_start() requires that the previous argument is a
pointer, hence the order of the arguments in the internal function
cannot be changed.

os-util: shorten temporal variable names

No functional change, just refactoring.

os-util: log one more error cause

os-util: do not use 'r' for storing loop status

The variable 'r' is usually used for storing return value of functional
call. Let's introduce another boolean to store the current loop status.

No functional change, just refactoring.

os-util: return earlier when unsupported image class is specified

os-util: return earlier when extension release file is found

No functional change, just refactoring.

os-util: split-out open_os_release() from open_extension_release()

The logics of opening os-release and extension-release are completely
different.
No functional change, just refactoring.

os-util: fix fd leak on failure

os-util: make open_extension_release() return O_PATH fd

os-util: drop fopen_extension_release()

compress: replace compress_blob() with compress_blob_explicit()

And make compress_xyz() return 0 on success, as we know which compression
algorithm is used when calling compress_blob().

Follow-up for 2360352ef02548723ac0c8eaf5ff6905eb9eeca5.

Merge pull request #27206 from yuwata/udev-rename

udev: rename arguments and options, update comments

chase: drop redundant call of delete_trailing_chars()

In that branch, 'root' is a non-root and absolute path.
Hence, delete_trailing_chars() does not make the path empty.
And, if the path contains redundant slashes at the end, that will be
dropped by path_simplify().

Merge pull request #27207 from masatake/busctl--help-msg

busctl: add --xml-interface to the help message

Merge pull request #27201 from yuwata/o-path-support

Support O_PATH more

tree-wide: A few more uses of "unmet" for conditions

This is a followup to
413e8650b71d4404a7453403797f93d73d88c466
> tree-wide: Use "unmet" for condition checks, not "failed"

Since I noticed when running `systemctl status` on a recent
systemd still seeing
`Condition: start condition failed`

To recap the original rationale here for "unmet" is that it's
normal for some units to be conditional, so the term "failure"
here is too strong.

Merge pull request #27199 from yuwata/find-esp

path-util: introduce path_prefix_root_cwd(), and use it in find_esp() and friends

Merge pull request #27202 from yuwata/os-release-tiny-cleanups

os-util: tiny cleanups

env-file: introduce parse_env_file_fdv()

shell-completion: add --xml-interface option of busctl to the rules

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

busctl: add --xml-interface to the help message

Signed-off-by: Masatake YAMATO <yamato@redhat.com>

find-esp: use path_prefix_root_cwd()

Unlikely, but even if find_esp() or friends called with unnormalized or
relative 'root', let's make the result path normalized and absolute.

Note, before 63105f33edad423691e2d53bf7071f99c83799ba, these functions
returned an absolute and normalized path. But the commit made the result
path simply concatenated with root.

Follow-up for 63105f33edad423691e2d53bf7071f99c83799ba.

path-util: introduce path_prefix_root_cwd()

test: update description

udev/scsi_id: rename positional arguments

device-nodes: rename argument

os-util: drop redundant declaration of load_os_release_pairs()

os-util: use _IMAGE_CLASS_INVALID

When extension is not specified, image class is not necessary to be
specified. Let's use _IMAGE_CLASS_INVALID as an indicator that no
extension is specified.