(bug 7632) {{ns-1}} instead of {{ns:-1}} in pagemovedtext message in MessagesCs.php

* Don't give attackers an opening by echoing back known bad parameter inputs.
* Create magic links only using a whitelist of protocols.

Have no proof of vuln, but allowing the user to make JavaScript links and have a lot of control over what goes into them probably isn't desirable.
Example attack input:
  http://en.wikipedia.org/w/api.php?action=query&meta=javascript://**/alert(1);

Example pre-patch HTML output contains this string:
  <a href="javascript://**/alert">javascript://**/alert</a>(1);
Which doesn't work, due to:
 1) the double slash - one slash someone can work around by faking a C-style comment (by appending "**/" as shown above), but two is a problem
 2) the parentheses being excluded, so we can't pass parameters
... but best to put a stop to it anyway.

(bug 7623) Use Sanitizer::escapeId to validate id's, not htmlspecialchars.

Quick update to r17088 - Fuzz testing was giving me a PHP Notice: "Undefined variable: wgUseDatabaseMessages in <b>/var/www/hosts/mediawiki/wiki/languages/messages/MessagesPl.php</b> on line <b>1292</b><br />". This happens because the desired output is the literal string "$wgUseDatabaseMessages", not the value of the $wgUseDatabaseMessages variable. However variables are not expanded in single quotes, but they are in double quotes; so when the line was changed from single to double quotes, it started wanting to print out the variable - therefore modifying to use single quotes, and adding escaping for the literal singles quotes.

Experimental workaround for bugs.php.net/bug.php?id=31892 , will be tested shortly.

API *
* OpenSearch support for namespaces
* Minor watchlist feed cleanup

(bug 7619) Update for Polish language (pl) #6

Removing trailing whitespaces from various messages.

'wgUseTidy' => false

Added --show-output option to parserTests.php, to allow capture of complete output for test generation. Fixed various parser tests broken by tidy and incorrect capture method (i.e. web browser). Updated "Fuzz testing: Parser14-table", this appears to be fixed.

docs

Try to fix a parser test, experimentally to see if this works.

* (bug 4525) Move section links down visually to same level as headings editsection links are now inside the heading elements).
* Document structure changed, so some JavaScript/CSS may need tweaking (wikibits.js updated to reflect changes).
* Parsertests updated, but don't seem to run, so someone please confirm that there are no (illusory) regressions.
* $wgStyleVersion bumped.

API * HTML is now valid HTML Transitional (thansk nickj)
* Fixed watchlist ordering bug

API * Optimized revision <rev> tag setting

Revert part of r17066 - ParserOptions private variables not being treated as private, reported by Simetrical, may only be experienced when tidy is enabled, I need to grep more in future.

API
* Removed slow result SanitizeData
* Fixed watchlist feed bug (reported by nickj)
* Fixed HTML formatting bug (reported & fixed by nickj)
* clarified HTML intro message

* Finish fixing bug 3205, and bump up $wgStyleVersion.
* Added $wgStyleVersion to a stylesheet call that brion missed.
* Add informative comment to the top of common_rtl.css to the effect that it is really common to all skins, unlike common.css.

Updating the release notes.

(bug 7617) Update for Portuguese localisation (pt)

Pass by reference, allow AutoAuthenticate to create a new object and assign it to $user.

* Probably want "$this->mIsGenerator = false;", not "$mIsGenerator = false;"
* rm unused global declaration.
* rm references usage in a foreach iteration ($info does not seem to be assigned to anything, so no benefit to using refs).
* Define local var in error printout.
* rm a few local vars that look unused.
* Make paranoia check do something.

* Make ParserOptions private variables private.
* Remove two unused globals.
* Remove pass-by-ref usage when arg is never modified (objects automatically passed-by-ref in PHP5)
* Removed some unused local variables.
* Mark a possibly dubious pass-by-ref on an uninitialized var as "FIXME: Please check that this initialization is correct", and added what I presume is the correct initialization.
* Declare preg_match arg 3 (output matches argument) as an array() before using it. Nothing wrong with not doing this, just feels slightly more explicit to me than a function call that also implictly creates and populates an array.
* My editor has automatically removed trailing spaces at the end of lines (which is not inherently a bad thing, but I have turned this option off now to help minimize diff sizes in future).
* Have confirmed that "php maintenance/parserTests.php --quiet --quick --color=no" shows no regressions, and that "php maintenance/fuzz-tester.php --specific-test=editPageTest --max-runtime=5" still shows no errors.

API * login module parameter format

API * Better log events info * Added RAW debugging format

API * better profiler modules naming

API * Enabled global profiling

* (bug 7444) Update namespace translations for Telugu (te), kept old values as alias for compatibility

* (bug 7581) Update language name for cbk-zam

* (bug 7599) Fix thumbnail purging, PHP notices on HTCP image page purge

Somebody changed the parameters and return value of Image->thumbUrl()
and didn't update all uses. Silly of them!

Also add a paranoia check on urls in the list in SquidUpdate

And don't redefine the socket options constants when called a second time

safety first

* API: logevents query module (incomplete)

Avoid new CSS class and id names without mw prefix to avoid conflicts with user data.

bump style version forgotten in r17047 which made big reverts

* API: added prop parameter to watchlist, added partrolled flag

Revert changes of 16988 and 17038 until I get some aesthetic issues worked out (some more line-heights will need to be reworked to keep it looking the same as before).

profiling

Forgot to bump up style version

fixed suggest URL

fix FSS-related bug

* Added search suggestions link.

* API: fixed titleToKey() to convert values to upper case.

Adjust header line-height in Monobook to account for changes in r16988

Purge using HEAD instead of GET, as Squid can match a GET object using HEAD too...

Count pages not links

(bug 7587) Fix erroneous id for specialpage tab, enabling informative popup

(bug 3015) Add CSS ids to subcategory and page sections on category pages

* API: help screen now shows default and allowed parameter values
* API: added experimental watchlist rss/atom feed
* API: if available, json_encode() will be used
* API: opensearch parameter changed to "search=" (more descriptive)
* API: minor parameter cleanup, a wrapper for Feed class

* Fix regression in autoconfirm permission check

Anons can't be autoconfirmed. Was broken by restructuring in r17004.

* Friendlier check for PHP 5 in command-line scripts; it's common for parallel
  PHP 4 and 5 installations to interfere on the command-line.

Change the HTCP purge method from 'NONE' to 'GET', to make
HTCP purges work with Squid 2.6 again.

(bug 7589) Update to Indonesian localisation (id) #38; updating the release notes

(bug 7585) Add wikilinks to parameter $1 in 'import-logentry-upload'

(bug 7581) Fixed native names for war: and pam:

* API query optimizations
* API allow modules to have custom printers

Always grant access to Special:Userlogin, even if the user can't create an account. Creating an account isn't the only thing Special:Userlogin is for.

* API watchlist: Forced an index, enabled generator

Fixing Special:Unwatchedpages title.

BC

Dependency tracking layer for caching.

Update.

Update to German (de) localisation

* API: Restructured to allow internal usage. Error handling cleanup.
* API: Added opensearch module, added apprefix param for list=allpages

Converted User to use lazy initialisation. This is to avoid unstub loops, and also for performance. Interfaces and semantics have been largely preserved, except for a minor change involving setLoaded().

Skip load balancing stuff if there is only one server

More informative error message in Special:Confirmemail

Fixed line endings on Windows. Cleaned up PHP 5 error messages.

newmessagesdifflink: It's incredible that this went unfixed for so long.

* (bug 7562) Fix non-ASCII namespaces on Windows/XAMPP servers
strtolower() tends to corrupt data when locale is not UTF-8, as on Windows.
Use $wgContLang->lc() for namespace and interwiki normalization.

* (bug 7565) typos in MessagesDe.php
* Some more updates/new translations

Removed trailing whitespaces

* Added global $wgStyleVersion to centralize bumping CSS and JS file versions
  for cache-friendly style and script updating

Reverting r16989 -- makes it extremely difficult to watch or unwatch a page that doesn't exist yet, unless you manually muck about with URLs

(bug 7560) Separate Special:Categories name and categorybox header
* Created a new message, 'pagecategories', which is used instead of 'categories' in the categorylinks box under the articles.
* Duplicated 'categories' to 'pagecategories' in all the languages.
* Removed "{{PLURAL}}" from 'categories' (and not 'pagecategories'), as it's ignored when used as the title of Special:Categories, and was added for the categorybox which now uses 'pagecategories'. It makes no harm, but it's useless, as no parameter and "{{PLURAL}}" is used for 'categories' - only for 'pagecategories'.

(bug 2241) Hide watch tab on edit in favor of checkbox to avoid confusing behavior and accesskey conflict

(bug 2013) Use numbers instead of em specifications for line-height so that the ratio and not the computed value is inherited.

(bug 3205) Stop right floats from stacking horizontally in non-Monobook skins (also correct clearing behavior for RTL)

* API: added watchlist module (incomplete)
* API: minor param cleanup

* API: fixed caching header per jeluf's fix in query.php

* API: Enabled output caching to allow proper output format in case of an error.

* API: Added revids parameter.

Added Upper Sorbian translation (hsb)

bump rtl css link

Update Chick, Classic, and Simple to have proper edit section styles, and bump up version numbers on non-Monobook CSS inclusions so that other skins don't have bad cache.

Update message for portal, portal-url...

bump style urls; did someone install the reverted bits, then uninstall them, on the live server?
there's some bad stuff in cache.

Fixed bug when $2 is present in the URL.

Removing the language maintenance scripts checktrans.php, duplicatetrans.php and unusedMessages.php, as they are obsolete and shouldn't be used - checkLanguage.php should be used instead of them, as it checks for more problems, contains much more features, and treats the ignored and optional messages right.

Commiting diff -r 16826:16966 of serbianvariants.
Enable engine for aliases like /sr-ec/Article_title
Put variants into google sitemap.

Revert last two commits.  Broke wikibits and don't know how to fix it at the moment.

Fix wikibits.js script broken by last commit.  That tweaked DOM: editsections are now spans instead of divs and are inside the h# tags, so JavaScript etc. that relies on their being divs will break briefly.  However, this is the logical approach, since it will attach the editsection to the header naturally, including auto-centering etc.

* (bug 4525) Move section links down to same level as headings (editsection links are now inside the h# elements)

Updating expected parserTests results to match r16958 editsections.

* (bug 6868) Un-hardcode section edit link style

Fix wrong place of documentation in last commit. Also, last commit should have had message:
(bug 6918) Stopped borders and backgrounds from showing through floated tables in Monobook

* allpages module fix
* added exception handling code

* (bug 6164) Avoid smashing Cite state if message transformation triggers
  during bad image list check, by skipping message transformation.
  This isn't a good permanent fix.

Minor tweak to HISTORY (change is not in 1.7).

Revert r16928: crashed Wikimedia by breaking memcached