Merge pull request #2716 from dbnicholson/max-metadata-size-doc

lib/pull: Fix max-metadata-size documentation

lib/pull: Fix max-metadata-size documentation

The documented option is incorrect and has been since it's introduction
in 2c55bc6997.

Merge pull request #2714 from andreamtp/patch-1

Fix recursive git archive reference

Fix recursive git archive reference

Broken link for "recursive git archive" example

Merge pull request #2711 from lucab/ups/sign-assertions

lib/sign: convert invariant checks to assertions

lib/sign: convert invariant checks to assertions

This converts several invariant checks to asserts. Most of the
functions in this file were already using assertions, so this aligns
the remaining few outliers to the rest.

Merge pull request #2709 from lucab/ups/otutils-variant-builder-error

otutil: add error handling to variant builders

otutil: add error handling to variant builders

This enhances a bunch of helpers related to GVariant building, in
order to properly handle errors and avoid some potential cases of
unexpected NULL results.

Merge pull request #2708 from nikita-dubrovskii/sh_to_c

s390x: drop shell code for `initrd` modification in SE case

s390x: use 'libarchive' to modify initrd in SE case

Merge pull request #2710 from lucab/ups/lib-mtree-redundant-validation

lib/mtree: drop redundant name checks

lib/mtree: drop redundant name checks

This drops several NULL checks against filename input argument.
Those checks are both redundant (as filename validation already
checks for that) and dangerous (as they return early without
setting an error value).

Merge pull request #2707 from lucab/ups/libostree-bootloader-asserts

lib/bootloader: assert invariants

s390x: simplify 's390x-se-luks-gencpio' script

Merge pull request #2706 from git-bruh/main

ostree-fetcher-curl: check for HTTP2 support before trying to use it

lib/bootloader: assert invariants

This tweaks some invariants checks into full assertions, in order
to avoid returning to the caller in case of known invalid states.

s390x: ensure both 'root' and 'boot' luks keys exist

ostree-fetcher-curl: check for HTTP2 support before trying to use it

Merge pull request #2704 from cgwalters/finalize-no-sigterm

finalize-staged: Don't listen to `SIGTERM`, just let kernel exit us

finalize-staged: Don't listen to `SIGTERM`, just let kernel exit us

Followup from discussion in
https://github.com/ostreedev/ostree/pull/2544#discussion_r958840936

This is more efficient; no need to have the kernel context switch
us in at shutdown time just so we can turn around and call
`exit()`.

Merge pull request #2544 from dbnicholson/finalize-block

finalize-staged: Ensure /boot and /sysroot automounts don't expire

finalize-staged: Ensure /boot automount doesn't expire

If `/boot` is an automount, then the unit will be stopped as soon as the
automount expires. That's would defeat the purpose of using systemd to
delay finalizing the deployment until shutdown. This is not uncommon as
`systemd-gpt-auto-generator` will create an automount unit for `/boot`
when it's the EFI System Partition and there's no fstab entry.

To ensure that systemd doesn't stop the service early when the `/boot`
automount expires, introduce a new unit that holds `/boot` open until
it's sent `SIGTERM`. This uses a new `--hold` option for
`finalize-staged` that loads but doesn't lock the sysroot. A separate
unit is used since we want the process to remain active throughout the
finalization run in `ExecStop`. That wouldn't work if it was specified
in `ExecStart` in the same unit since it would be killed before the
`ExecStop` action was run.

Fixes: #2543

main: Factor out sysroot loading

It can be useful to parse the options and initialize the sysroot without
actually loading it until later. Factor out the sysroot loading to a new
`ostree_admin_sysroot_load` and add a new
`OSTREE_ADMIN_BUILTIN_FLAG_NO_LOAD` flag to accommodate this.

Merge pull request #2695 from HuijingHei/kargs-stage

Fix `ostree admin kargs edit-in-place` assertion when deployments are pending

Fix `ostree admin kargs edit-in-place` assertion when deployments
are pending

This is to support pending deployments instead of rasing assertion.
For example:
```
$ sudo rpm-ostree kargs --append=foo=bar
$ sudo ostree admin kargs edit-in-place --append-if-missing=foobar
```
After reboot we get both `foo=bar foobar`.

Fix https://github.com/ostreedev/ostree/issues/2679

Merge pull request #2701 from cgwalters/bind-list-commits

 rust: Bind `ostree_repo_list_commits_starting_with`

rust: Bind `ostree_repo_list_commits_starting_with`

I wanted to use this as a fallback for
https://github.com/ostreedev/ostree-rs-ext/pull/351/commits/30dee81c22ad5cb90e77198d3ddbcc25d388afb5

Merge pull request #2702 from thesamesam/bashism

buildutil/glibtests.m4: fix bashism

Merge pull request #2700 from jlebon/pr/staged-docs

docs: Add section about staged deployments

buildutil/glibtests.m4: fix bashism

configure scripts need to be runnable with a POSIX-compliant /bin/sh.

On many (but not all!) systems, /bin/sh is provided by Bash, so errors
like this aren't spotted. Notably Debian defaults to /bin/sh provided
by dash which doesn't tolerate such bashisms as '=='.

This retains compatibility with bash.

Fixes configure warnings/errors like:
```

checking whether to build static libraries... no
./configure: 14795: test: unexpected operator
```

Signed-off-by: Sam James <sam@gentoo.org>

Merge pull request #2698 from cgwalters/update-gir

docs: Add section about staged deployments

I was explaining staged deployments to someone today and was looking for
a doc but we didn't have any. Fix that.

Merge pull request #2699 from cgwalters/drop-debian-testing

ci: Also drop seccomp on debian testing

ci: Also drop seccomp on debian testing

I didn't deep dive into debugging this but I'm pretty sure it's
 https://gitlab.gnome.org/GNOME/glib/-/issues/2580
which is us having an older Docker in the middle here.

rust: Update to latest git

In the future I may try to add CI that requires this to be
sync'd...

Merge pull request #2692 from GeorgesStavracas/gbsneto/transaction-leak

lib/commit: Unref repo on success

Merge pull request #2697 from tkfu/docs/add-related-projects

docs: Add aktualizr and TorizonCore to related projects

docs: Add aktualizr and TorizonCore to related projects

Signed-off-by: Jon Oster <jon.oster@toradex.com>

Merge pull request #2693 from lucab/ups/libostree-fix-annotation

libostree: fix a typo in annotation

libostree: fix a typo in annotation

This fixes a typo in the `allow-none` annotation on
`ostree_sysroot_deployment_set_kargs_in_place` argument.

Merge pull request #2691 from cgwalters/rev-parse-single

cli/rev-parse: Add `--single` option

In the current "ostree native container" flow, we're inserting
a commit object into the repo but with no refs.

We have hacks in a few places to find the commit digest via e.g.
`find repo/objects -name *.commit` but that's a horrible hack.
Add `ostree rev-parse --single` which will print the single commit,
and error out if there is not exactly one commit.

Co-authored-by: Jonathan Lebon <jonathan@jlebon.com>

Merge pull request #2690 from cgwalters/cli-less-goto-1

cli/rev-parse: Port to new code style

lib/commit: Unref repo on success

Commit 540e60c3 introduced _ostree_repo_auto_transaction_new(), a
private constructor to OstreeRepoAutoTransaction, by factoring out
some code from _ostree_repo_auto_transaction_start(). This factored
code increased the refcount of the 'repo' variable.

Subsequent commit 71304e854c made ostree_repo_prepare_transaction()
use ths newly introduced constructor. However, in this function, the
happy path assumed no ref was taken, and therefore did not unref it.
Commit 71304e854c didn't add the corresponding unref either.

This leaks a reference to OstreeRepo when calling
ostree_repo_prepare_transaction().

Plug this leak by using g_clear_object() to clear the repo field
of OstreeRepoAutoTransaction, instead of simply setting it to NULL.

Closes https://github.com/flatpak/flatpak/issues/4928

cli/rev-parse: Port to new code style

Prep for future changes.

Merge pull request #2684 from ostreedev/dependabot/submodules/libglnx-26375b5

build(deps): bump libglnx from `c59eb27` to `26375b5`

Bumps libglnx from `c59eb27` to `26375b5`.

---
updated-dependencies:
- dependency-name: libglnx
  dependency-type: direct:production
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #2689 from jlebon/pr/ficlone-direct-payload

lib/commit: Directly use FICLONE for payload link

tests/kolainst/staged-deploy: parse `rpm-ostree status --json` instead

Don't parse `rpm-ostree status` output, it's not meant for that. Use
`--json` output instead.

While we're here, fix an obsolete reference to Ansible.

Related: https://github.com/coreos/rpm-ostree/pull/3938

lib/commit: Directly use FICLONE for payload link

The idea of payload linking is to reflink between objects where
possible. Instead of relying on `glnx_regfile_copy_bytes` to hit the
`FICLONE` path, just call `FICLONE` directly. At that point in the code,
we've already established that the source and dest repos are on the same
filesystem and that it supports `FICLONE`.

Related: https://gitlab.gnome.org/GNOME/libglnx/-/merge_requests/41
Related: https://github.com/ostreedev/ostree/pull/2684#issuecomment-1204068437

Merge pull request #2688 from LukasKalbertodt/main

Update to `libtest-mimic` 0.5.0

Update to `libtest-mimic` 0.5.0

Merge pull request #2686 from cgwalters/include-cleanups

Handle conflicts between newer glibc and kernel headers

Move FIFREEZE/FITHAW ioctl invocations into linuxfsutil.c

Should help avoid conflicts between glibc and linux headers.

Closes: https://github.com/ostreedev/ostree/issues/2685

Remove unused `linux/fs.h` includes

Prep for fixing conflicts introduced by newer glibc.
cc https://github.com/ostreedev/ostree/issues/2685

Merge pull request #2683 from cgwalters/sync-deny

deny.toml: Add `Unicode-DFS-2016`

deny.toml: Add `Unicode-DFS-2016`

This is used by the unicode crate now and is definitely a compatible
FOSS license.

Merge pull request #2678 from cgwalters/release-2022-5

Release 2022 5

rust-bindings: Fix `cargo fmt`

configure: post-release version bump

Release 2022.5

Merge pull request from GHSA-gqf4-p3gv-g8vw

Fix sign ed25519 verify

Merge pull request #2675 from HuijingHei/update-doc

Update doc about adding new function to libostree

Merge pull request #2676 from render-se/debos-docs

add debos to readme distribution build tools

docs add debos to readme distribution build tools

rust: Add a test case for ed25519

Specifically, I verified that *before* the previous patch to the
ed25519 C code, the last bit of code would fail with a SIGSEGV when
trying to read the empty signature.

sign/ed25519: Verify signatures are minimum length

The ed25519 signature verification code does not
check that the signature is a minimum/correct length.
As a result, if the signature is too short, libsodium will end up
reading a few bytes out of bounds.

Reported-by: Demi Marie Obenour <demi@invisiblethingslab.com>
Co-authored-by: Demi Marie Obenour <demi@invisiblethingslab.com>
Closes: https://github.com/ostreedev/ostree/security/advisories/GHSA-gqf4-p3gv-g8vw

Update doc about adding new function to libostree

Merge pull request #2669 from HuijingHei/fix-kargs

Fix `ostree admin kargs edit-in-place` fails issue

Merge pull request #2672 from cgwalters/initialize-sysroot-cleanups

sysroot: Have `ensure_writable` also always initialize

Merge pull request #2673 from cgwalters/assert-boot

sysroot: Add a few more assertions about `boot_fd`

sysroot: Add a few more assertions about `boot_fd`

These places are all safe, but it would catch bugs in the future
more clearly to trip an assertion here.

sysroot: Have `ensure_writable` also always initialize

For historical reasons we have a fair bit of distinct sysroot
initialization going on.  A lot of code is calling *just* the new
`ensure_writable()` API, which does basically what you'd expect...
except if we're not using a mount namespace.

Which is the case in unit tests and legacy setups.
Change this API to also ensure the sysroot is fully initialized
even in those cases.  Specifically we'll have `self->sysroot_fd`.

For now, callers that need `/boot` also need to separately
call `_ensure_boot_fd()`.

deploy: Ensure sysroot is initialized for kargs in place

Even without a mount namespace set up.

Merge pull request #2671 from matthiasbeyer/readme-rust-bindings-fix

Fix link to rust bindings

Add test to verify `ostree admin kargs edit-in-place` working

Fix `ostree admin kargs edit-in-place` fails issue

Add func to set kernel arguments in place, instead of create new
deployment
Fix https://github.com/ostreedev/ostree/issues/2664

Merge pull request #2668 from cgwalters/sync-cargo-deny

Fix link to rust bindings

ostree-rs was merged into ostree, so link to the rust bindings within
this repository.

Signed-off-by: Matthias Beyer <mail@beyermatthias.de>

Merge pull request #2666 from saqibali-2k/pr/bls-append

ostree-repo: bls-append-except-default followup

deny: Sync with rpm-ostree

This extends the license set basically and ignores private repos
(which we don't have any yet).

ostree-repo: bls-append-except-default followup

This PR is followup from https://github.com/coreos/coreos-assembler/pull/2863
Summary of changes:
- Moved bls-append-except-default parsing logic to reload_sysroot_config()
- Made sure heap allocated memory is being freed

Merge pull request #2667 from cgwalters/deploy-require-repo

lib: Stop using old `ostree_sysroot_get_repo()` API

lib: Stop using old `ostree_sysroot_get_repo()` API

It's falliable, and in one place we were actually ignoring
the error and leaving a `NULL` repo object which is just a trap
for people coming along later since it's rarely nullable.

Quite a while ago we switched to loading the repo at the same time
as the sysroot; convert callers in the library to use this infallible
accessor.

Prep for another patch which will use the repo object.

Merge pull request #2632 from saqibali-2k/pr/prune-commit-only

lib/prune: speed up pruning by retrieving only commits

Merge pull request #2661 from cgwalters/port-cap-std

lib/prune: speed up pruning by retrieving only commits

After landing the new --commit-only functionality, we still noticed
exceedingly long pruning times in large repos. Lets add an optimization
that will only retrieve commit objects when --commit-only flag is used.

tests/inst: Port to cap-std

Part of an ongoing effort.

Merge pull request #2660 from cgwalters/fix-load-file-api

repo: Metadata return values from `load_file` are not nullable

Merge pull request #2655 from nikita-dubrovskii/sdboot_rename

Merge pull request #2659 from cgwalters/hackaround-cosa-systemd-unit-check

tests/staged-deploy.sh: Hack around cosa systemd unit check

https://github.com/coreos/coreos-assembler/pull/2921 broke this
test which is intentionally causing a systemd unit to fail.

As they say, necessity is the mother of invention.  They don't
say though that need always causes particularly *beautiful* things
to be invented...

s390x: rename sd-boot to sdboot

Signed-off-by: Nikita Dubrovskii <nikita@linux.ibm.com>

repo: Metadata return values from `load_file` are not nullable

The pattern this API uses in C is to allow the input parameters
pointer targets to be `NULL`, and it doesn't return values in that
case.

A further complexity here is that the API will still return `NULL`
for symbolic links.

But Rust can't express this pattern as is, so we were always
returning values but in `Option<T>` wrappers that the caller needed
to unwrap for the metadata.

(We really want an even more efficient API here that avoids the glib
 objects entirely, e.g. no reason not to pass directly back a type
 that lets Rust directly read from the fd for bare repos, but
 that can come later)

Merge pull request #2656 from cgwalters/bump-cap-std

rust: Bump semver to 0.15 && bump cap-std 0.25

Merge pull request #2658 from jlebon/pr/pinger

tests/inst/destructive: stop disabling fedora-coreos-pinger

tests/inst/destructive: stop disabling fedora-coreos-pinger

It was removed from FCOS:
https://github.com/coreos/fedora-coreos-tracker/issues/770

Bump to cap-std 0.25 and io-lifetimes 0.7

Prep for bumping ostree-rs-ext, which will help bump rpm-ostree,
which will get it out of having two copies of rustix.

rust: Bump semver to 0.15

Prep for some breaking changes.

Fix clippy lint in cap-std bits