mkosi: Fix particle profile

The sbsign and ukify part was moved into a finalize script
rather than a postinst.chroot script so was using host tools
instead of just-built.

build(deps): bump pkg/debian from `9a5adf2` to `f550017`

Bumps pkg/debian from `9a5adf2` to `f550017`.

---
updated-dependencies:
- dependency-name: pkg/debian
  dependency-type: direct:production
...

Signed-off-by: dependabot[bot] <support@github.com>

man: improve documentation about using resource-control options

According to the documentation in systemd.resource-control(5),
resource-control options may be used in mount, scope, service,
slice, socket and swap units.
While e.g. systemd.service(5) includes that information,
documentation for some other units does not.

The most problematic example is systemd.slice(5).
Its documentation states a slice unit may only contain [Install]
and [Unit] sections, while actually it may contain also a [Slice]
section with options from systemd.resource-control(5).
units/user/app.slice is an example of a slice unit having a [Slice]
section.

test: drop --tpm2-public-key= from TEST-70

Fixes test failure

Follow-up for 03e3b2672bb6c242c445ee8c02ae7d23dbfcf87d

nspawn, vmspawn, run0: add env var for turning off background tinting

Some people are just sad, sad lost souls who don't like even the tiniest
ray of color in their life. Let's add an env var knob for allowing them
to turn the background tinting off, to drive the last bit of color from
their life so that they can stay in their grey grey life.

journal: explicitly sync namespaced journals before stopping socket units

Otherwise, if a service unit that requests LogNamespace= stopped before
systemd-journald@.service is started, logs generated by the service will be
lost, as systemd-journald@.socket is stopped and
systemd-journald@.service will never started.

To prevent the issue, let's introduce another implicit dependency to
a oneshot service that explicitly synchronizes a namespaced journal file
when the log namespace is not needed anymore.

Fixes #32604.

vmspawn,man: move the varlistentry for -D into a variablelist

This is so that systemd.directives picks up the -D argument as being
supported by vmspawn.

tree-wide: fix type confusion around parsing JSON booleans

Sometimes we store them in a tristate, sometimes in C stdbool booleans.
Sometimes we fucked up picking the right parsing function however. Fix
that.

news: refer to ForwardToSocket instead of ForwardAddress

update TODO

cryptenroll: disable loading public key if --tpm2-public-key= is empty

libfido2-util: fix a regression in the pre-flight mechanism

The recently merged PR #32295 introduced support for the credProtect
extension, but in doing so, it broke the discoverability of credentials
by setting the policy to FIDO_CRED_PROT_UV_REQUIRED for UV-less,
PIN-protected credentials. This policy would require us to pass the PIN
to the token in the pre-flight request to be able to discover it,
which defeats the purpose of pre-flight requests as they're supposed
to be non-interactive.

This commit restricts the usage of credProtect to UV credentials only.

build(deps): bump pkg/arch from `dd7aff4` to `b13e94a`

Bumps pkg/arch from `dd7aff4` to `b13e94a`.

---
updated-dependencies:
- dependency-name: pkg/arch
  dependency-type: direct:production
...

Signed-off-by: dependabot[bot] <support@github.com>

importctl: fix flag checking against wrong variable

Fixes 67c7ee11afb5ff703c3ca8e390c8360140298a0f

Merge pull request #32592 from yuwata/journal-timestamp

journal: several timestamp cleanups and improvements

Merge pull request #32609 from systemd/dependabot/github_actions/github/super-linter-6

build(deps): bump github/super-linter from 5.0.0 to 6

ci: point Super-Linter to the new upstream

Looks like since [0] the Super-Linter repo was moved to
super-linter/super-linter and github/super-linter is just a fork, so
let's update the reference accordingly.

[0] https://github.com/github/super-linter/commit/59fac7946c4891bb4867ebb4ffdb05c32fac3cf4

ci: explicitly disable multi status for Super-Linter

The multi status feature requires $GITHUB_TOKEN, and since [0] it
defaults to true. Since we don't need it, let's explicitly disable the
feature.

[0] https://github.com/super-linter/super-linter/commit/e6e6e1fa5f60e15d7e9b89248bb0809bea1c17e9

po: update Italian translation (#32621)

Merge pull request #32617 from yuwata/journal-sync

journald: wait for journal files fsync()ed on Synchronize() varlink method

core/selinux-access: use empty_to_na where appropriate

logs-show: adjust source timestamp with header timestamp

Previously, _SOURCE_REALTIME_TIMESTAMP was only used for realtime
timestamp, and _SOURCE_MONOTONIC_TIMESTAMP was for monotonic.

This make these journal field used more aggressively. If we need
realtime timestamp, but an entry has only _SOURCE_MONOTONIC_TIMESTAMP,
then now realtime timestamp is calculated based on
_SOURCE_MONOTONIC_TIMESTAMP and the header dual timestamp.
Similary, monotonic timestamp is obtained from
_SOURCE_REALTIME_TIMESTAMP and the header dual timestamp.

This should change shown timestamps not so much in most cases, but may
be improve the situation such as #32492.

logs-show: make output_timestamp_realtime() only take realtime timestamp

No functional change, just refactoring and preparation for later
commits.

sd-journal: verify monotonic timestamp before assigning result

Previously, ret_boot_id was assigned even when the function failed due
to an invalid monotonic timestamp stored for a journal entry.

journal: use STRLEN() and xsprintf()

No functional change, just refactoring.

journald-audit: set _SOURCE_REALTIME_TIMESTAMP= field in server_dispatch_message()

No functional change, just refactoring.

hwdb: Add mapping for Samsung GalaxyBook - 550X (#32616)

- Kernel: linux-6.8.8-arch
- systemd: 255.5-3-arch
- Laptop: Samsung GalaxyBook - NP550XDA-KF1BR

This is the solution to a problem with the Samsung GalaxyBook in which some Media keys,
when pressed and released, get stuck as if they are hold.

Merge pull request #32595 from bluca/old_docs

Remove outdated documents

journald: wait for journal files fsync()ed on Synchronize() varlink method

Otherwise, we may not be able to read newer journal entries even after
'journalctl --sync' is called.

Closing #32539.

journald: make several functions static

resolved: validate authentic insecure delegation to CNAME

If the parent zone uses a non-opt-out method that provides authenticated
negative DS replies, we still can't expect signatures from the child
zone. sd-resolved was using the authenticated status of the DS reply to
require signatures for CNAMEs, even though it had already proved that no
signature exists.

Fixes: 47690634f157 ("resolved: don't request the SOA for every dns label")

resolved: probe for dnssec support in allow-downgrade mode

Previously, sd-resolved unnecessarily requested SOA records for each dns
label in the query, even though they are not needed for the chain of
trust. Since 47690634f157, only the necessary records are queried when
validating.

This is actually a problem in allow-downgrade mode, since we will no
longer attempt a query for a record that we know is signed a priori, and
will therefore never update our belief about the state of dnssec support
in the recursive resolver.

Rectify this by reintroducing a query for the root zone SOA in the
allow-downgrade case, specifically to test that the resolver attaches
the RRSIGs which we know must exist.

Fixes: 47690634f157 ("resolved: don't request the SOA for every dns label")

Merge pull request #32613 from arthurzam/bash-v256

More shell-completions work

shell-completion: add bash completion for systemd-vmspawn

Signed-off-by: Arthur Zamarin <arthurzam@gentoo.org>

shell-completion: add missing args to zsh resolvectl

Signed-off-by: Arthur Zamarin <arthurzam@gentoo.org>

shell-completion: add missing args to bash resolvectl

Signed-off-by: Arthur Zamarin <arthurzam@gentoo.org>

shell-completion: add missing args to bash systemd-analyze

Signed-off-by: Arthur Zamarin <arthurzam@gentoo.org>

reboot-util: Add some basic validation on reboot arguments

Let's only accept valid ASCII and put a size limit on reboot arguments.

Merge pull request #32611 from DaanDeMeyer/qdisc

network/tc: Avoid concurrent set modification in tclass_drop()/qdisc_drop()

network/tc: Avoid concurrent set modification in tclass_drop()/qdisc_drop()

With the current algorithm, we can end up removing entries from the
qdisc/tclass sets while having multiple open iterators over the sets at
various positions which leads to assertion failures in the hashmap logic
as it's only safe to remove the "current" entry.

To avoid the problem, let's split up marking and dropping of tclasses
and qdiscs. First, we recursively iterate tclasses/qdiscs and mark all
that need to be removed. Next, we iterate once over tclasses and qdiscs
and remove all marked entries.

Fixes 632d321050f58fe1b5bed7cfe769d212377c0301

test-network: Make source directory optional

test: Follow symlinks when copying with rsync

We have e.g. 25-default.link in test-network/ which becomes a broken
symlink when installed so let's not copy the symlinks but follow them
instead so they don't become broken.

build(deps): bump redhat-plumbers-in-action/differential-shellcheck

Bumps [redhat-plumbers-in-action/differential-shellcheck](https://github.com/redhat-plumbers-in-action/differential-shellcheck) from 5.1.1 to 5.1.2.
- [Release notes](https://github.com/redhat-plumbers-in-action/differential-shellcheck/releases)
- [Changelog](https://github.com/redhat-plumbers-in-action/differential-shellcheck/blob/main/docs/CHANGELOG.md)
- [Commits](https://github.com/redhat-plumbers-in-action/differential-shellcheck/compare/c15070885a82a2c93db8a765d332c38c50dde8b3...52bab0caa5249d6acd8bcd5bc7a68e69ac9319f9)

---
updated-dependencies:
- dependency-name: redhat-plumbers-in-action/differential-shellcheck
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>

build(deps): bump redhat-plumbers-in-action/gather-pull-request-metadata

Bumps [redhat-plumbers-in-action/gather-pull-request-metadata](https://github.com/redhat-plumbers-in-action/gather-pull-request-metadata) from 1.6.1 to 1.7.0.
- [Release notes](https://github.com/redhat-plumbers-in-action/gather-pull-request-metadata/releases)
- [Commits](https://github.com/redhat-plumbers-in-action/gather-pull-request-metadata/compare/69c703f376018c1a41c8ccce21dc2e16a79f3324...17821d3bc27c1efed339595898c2e622accc5a1b)

---
updated-dependencies:
- dependency-name: redhat-plumbers-in-action/gather-pull-request-metadata
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #32610 from YHNdnzj/install-have-modification

core/dbus-manager: mark unit file state as outdated only if some changes succeeded

core/dbus-manager: mark unit file state as outdated only if
some changes succeeded

Follow-up for a82b8b3dc80619c3275ad8180069289b411206d0

We don't need to invalidate the unit file state
if all operations failed.

Also, emit UnitFilesChanged signal as long as
some operations succeeded.

build(deps): bump pkg/arch from `6a2bc57` to `dd7aff4`

Bumps pkg/arch from `6a2bc57` to `dd7aff4`.

---
updated-dependencies:
- dependency-name: pkg/arch
  dependency-type: direct:production
...

Signed-off-by: dependabot[bot] <support@github.com>

shared/install: use FOREACH_ARRAY for install_changes_have_modification

build(deps): bump github/super-linter from 5.0.0 to 6

Bumps [github/super-linter](https://github.com/github/super-linter) from 5.0.0 to 6.
- [Release notes](https://github.com/github/super-linter/releases)
- [Changelog](https://github.com/github/super-linter/blob/main/CHANGELOG.md)
- [Commits](https://github.com/github/super-linter/compare/45fc0d88288beee4701c62761281edfee85655d7...4e51915f4a812abf59fed160bb14595c0a38a9e7)

---
updated-dependencies:
- dependency-name: github/super-linter
  dependency-type: direct:production
  update-type: version-update:semver-major
...

Signed-off-by: dependabot[bot] <support@github.com>

shared/install: reduce variable scope

systemctl: fix log message when glob patterns passed to disable command and friends

Fixes #32599.

systemctl: Implement --wait for kill command

TEST-26-SYSTEMCTL is racy as we call systemctl is-active immediately
after systemctl kill. Let's implement --wait for systemctl kill and
use it in TEST-26-SYSTEMCTL to avoid the race.

Merge pull request #32540 from DaanDeMeyer/mkosi

mkosi: Enable more integration tests

core/exec-credential: update comment

man/run0: fix typo (missing "by")

core: Fix file descriptor leak

docs: move information from AUTOPKGTEST.md to test/README.testsuite and delete it

This is not information that needs to be published on systemd.io as it's
purely internal, so the README is enough

docs: drop outdated documents about os-release and cgroupsv1

cgroupv1 is deprecated, and os-release has a fully fledged manpage

po: Translated using Weblate (Slovenian)

Currently translated at 14.8% (35 of 235 strings)

Co-authored-by: Martin Srebotnjak <miles@filmsi.net>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/main/sl/
Translation: systemd/main

test: Add disabled mkosi tests to meson.build

Makes it easier to track which ones still need to be fixed.

test: Enable more mkosi integration tests

test: Bump mkosi integration test timeout to 1800 seconds

Same timeout as the bash framework.

test: Make journal storage configurable per test and make persistent for TEST-09-JOURNAL

Also fix a bug in the logic since it's 'volatile' and not 'runtime'.

test: Drop /usr overlay workaround

/usr is not erofs anymore in the mkosi images so let's drop the
workaround where we mount a writable tmpfs on top of /usr.

Revert "TEST-25-IMPORT: Skip if importctl not installed"

This reverts commit dcb17e3295dfce1a9a9f4fb648c4750c05d3c46d.

importctl is now correctly installed on opensuse, so no need for
this workaround anymore.

TEST-71-HOSTNAME: Ignore error from reset-failed

On OpenSUSE the systemd-hostnamed does not fail and is unloaded which
causes reset-failed to fail. So let's ignore any errors from reset-failed
to make the test more robust.

TEST-46-HOMED: Check for sshd pam snippet in /usr/lib/pam.d as well

opensuse ships pam snippets in /usr/lib/pam.d.

TEST-82-SOFTREBOOT: Exit with exit status 123

Required to make mkosi consider the test successful.

TEST-35-LOGIN: Exclude manager entry in testcase_sanity_check()

Otherwise we try to kill the wrong session.

TEST-18-FAILUREACTION: Exit with 123 on success

mkosi expects the virtual machine/container to exit with exit status
123 on success so let's make sure that's the case.

TEST-09-REBOOT: Make journalctl grep pattern more specific

We might be rotating because we reached limits, which is perfectly
fine, so don't fail if that happens.

TEST-13-NSPAWN: Skip on virtiofs

The rootfs only has 64K UIDs available when booting with virtiofs,
whereas the nspawn tests want to use user namespace which require
more than 64K UIDs.

TEST-13-NSPAWN: move disk images to /var/tmp

/tmp may not be large enough to contain disk images
and will result in strange errors when it runs out of space.

tree-wise: several cleanups for logging

- drop unnecessary SYNTHETIC_ERRNO() when the logger does not propagate
  error code,
- drop unnecessary '%m' in error message when the error code is
  specified with SYNTHETIC_ERRNO(),
- add missing full stop at the end of log message,
- use RET_GATHER(),
- add missing ", ignoring.",
- upeercase the first letter, etc., etc...

TEST-13-NSPAWN: move container template to /usr/share

Having directories in / causes problems for make-root-on-boot images

TEST-04-JOURNAL: Make LogFilterPatterns= tests more robust

Let's use oneshot services as we don't need long running services
for the tests we're doing. Let's also increase the sleeps a little
as the current values weren't sufficient when running the test locally
on my machine with mkosi.

TEST-83-BTRFS: Skip if root filesystem is not btrfs

TEST-35-LOGIN: Handle multiple lock messages per sleep

If 3 lock messages get sent when going to sleep
then we can falsely assume we have woken up if we only assume we have at least two
so checking we have more than we did before sleeping addresses that issue.

mkosi: Fix %__check_files eval in opensuse build script

Make sure the correct buildroot gets expanded instead of the default
opensuse build root location.

We also remove debug files from the unpackaged files list as they're
handled separately by rpm.

build-path: fix SIGSEGV on RISC-V and MIPS

On RISC-V and MIPS DT_STRTAB is an offset, not a full address.

Follow-up for 91d149cfb45fc2fad7ce18fb651297ee50ecc1f8

catalog: update Polish translation

Includes changes up to 844863c61e7b501097da84a1e4d1e4a6aa6d9f0d

network-generator: add missing return on error after the logging refactor

Fixes 3cb618084a1bd5c7cb42822b4ce3dbd048e6bd24

mkosi: Install more locales on CentOS/Fedora

Required for TEST-73-LOCALE.

mkosi: Install tpm2-tools in system image

Required for TEST-70-TPM2.

mkosi: Override /sbin/init in minimal-base

Required for TEST-13-NSPAWN.

mkosi: Use systemd.crash_action=poweroff in integration tests

Some integration tests expect to be able to reboot so switch to using
the new systemd.crash_action=poweroff instead.

mkosi: Add curl package for journal tests

mkosi: Mask systemd-networkd-wait-online when --runtime-network=none

Otherwise it will wait forever waiting for an interface to appear.
See https://github.com/systemd/systemd/issues/29388.

mkosi: Disable --runtime-scratch=no for tests

Breaks TEST-83-BTRFS if enabled.

mkosi: Install locales on debian/ubuntu

Required for TEST-73-LOCALE.

mkosi: Make sure our extra kernel command line overrides the config one

mkosi: Simply remove all the debian patches instead of mounting over them

The build sources are ephemeral anyways, so we can just remove the patches
instead of hiding them.

mkosi: Use symlinks instead of bind mounts for Arch

With bind mounts, the directories we bind mount to get recorded as
the meson source and build directories. This means meson will complain
if we later try to run meson install -C /work/build in the virtual
machine or container. If we use symlinks, the directories we symlink to
will be recorded as the meson source and build directories, which means
meson install -C /work/build will work when executed after booting the
VM or container.

I tried to do the same for debian as well but the debian package tooling
changes directory into the build directory and then does meson setup ..
which is completely broken when switching to a symlink.

mkosi: Install minimal-base to /usr/share/testsuite-13-container-template

Required for TEST-13-NSPAWN.

mkosi: Remove more files from Arch minimal image

Merge pull request #32523 from cgzones/inaccessible_label

shared: create inaccessible files with correct security label

po: add a false positive to POTFILES.skip

Scripts used to detect files that should be in POTFILES.in, like
intltool-update -m used on https://l10n.gnome.org/module/systemd/,
falsely detect this file as containing translations. Avoid this
behavior by putting the file in POTFILES.skip.

docs: autopkgtest: refresh the docs with up-to-date information

@iainlane doesn't work on Ubuntu infrastructure anymore, and `bionic` is still ESM, but not really supported anymore either.
`noble`, which is the latest Ubuntu, probably is better for testing `systemd` in 2024, and pinging `qa-help` on IRC is the current official way to contact the team behind Ubuntu's infrastructure.

test: exclude gperf files from captured coverage

Recent lcov started complaining loudly about unknown lines in gperf
files:

...
Found gcov version: 13.2.1
Using intermediate gcov format
Recording 'internal' directories:
...
Finished processing 1634 GCNO files
Apply filtering..
Message summary:
  1 error message:
    range: 1
  28 warning messages:
    gcov: 27
    usage: 1
geninfo: ERROR: (range) unknown line '33' in /build/src/home/homed-gperf.gperf: there are only 22 lines in the file.
  Use 'geninfo --filter range' to remove out-of-range lines.
        (use "geninfo --ignore-errors range ..." to bypass this error)

Since we drop the coverage of built files from the final report anyway,
let's do it also when capturing both initial and real coverage to avoid
this error.

test: Don't persist journal in mkosi image if we're not debugging tests

If we're not debugging tests, there's no point in persisting the journal,
so let's use the volatile journal storage mode in that case to avoid doing
unnecessary work.

We don't disable journal storage alltogether since various tests check
that stuff is written to the journal.