main-func: implicitly save argc/argv in DEFINE_MAIN_FUNCTION() functions

Let's remove the risk of forgetting to save argc/argv if
DEFINE_MAIN_FUNCTION() is used.

util: introduce save_argc_argv() helper

Merge pull request #12062 from poettering/nspawn-main-func

nspawn: port to DEFINE_MAIN_FUNCTION()

nspawn: add --no-pager switch

It only matters for --help.

Merge pull request #12014 from poettering/systemctl-exit-fix

systemctl fallback error propagation fix

Merge pull request #12052 from poettering/systemctl-fixlets

systemctl refactorings

Merge pull request #12057 from poettering/chown-tty

chown TTY back to root:tty after a service terminates that used them

nspawn: voidify sd_notify() calls

nspawn: port to static destructors

nspawn: port to main-func.h logic

Merge pull request #12059 from poettering/nspawn-typos

some typo and other fixes result of the OCI nspawn merge

Merge pull request #12058 from keszybz/oci-simplifications

Follow-ups for nspawn-oci review

nspawn: add a few missing flags from --help text

man: adjust nspawn man page to follow same section/order as --help text

No other changes, just some reshuffling and adding of section headers
(well, admittedly, I changed some "see above" and "see below" in the
text to match the new order.)

nspawn: reorder --help text, and add section

The list is so long, let's add a bit of structure and order things a
bit.

mount: when we fail to establish an inaccessible mount gracefully, undo the mount

capability: add a test that fails if we ever enter > 64bit capability territory

capability: also cap CAP_LAST_CAP at 63

capability: typo fix

capability: use UINT64_C() where appropriate

capability: minimize scope of a few variables

capability: minor coding style updates

capability: add missing ')'

As pointed out by @polarina

https://github.com/systemd/systemd/commit/d0b6a10c005ab1fff44d032be995e3f2bcfba225#commitcomment-32857641

util-lib: get rid of a helper variable

nspawn-oci: add helper function for free_and_strdup with oom check

Merge pull request #9762 from poettering/nspawn-oci

OCI runtime support for nspawn

nspawn-oci: use SYNTHETIC_ERRNO

update TODO

core: rework how we reset the TTY after use by a service

This makes two changes:

1. Instead of resetting the configured service TTY each time after a
   process exited, let's do so only when the service goes back to "dead"
   state. This should be preferable in case the started processes leave
   background child processes around that still reference the TTY.

2. chmod() and chown() the TTY at the same time. This should make it
   safe to run "systemd-run -p DynamicUser=1 -p StandardInput=tty -p
   TTYPath=/dev/tty8 /bin/bash" without leaving a TTY owned by a dynamic
   user around.

execute: split check if we might touch a tty out of exec_context_may_touch_console()

Some simple refactoring that'll come handy in a later commit.

execute: use path_equal() to compare tty names

After all they might be strings such as pts/1 which we really should
consider the same as pts//1.

Merge pull request #12049 from keszybz/assorted-fixups

Assorted fixups

shared/install: Preserve escape characters for escaped unit names

Since switching to extract_first_word with no flags for parsing
unit names in 4c9565eea534cd233a913c8c21f7920dba229743, escape
characters will be stripped from escaped unit names such as
"mnt-persistent\x2dvolume.mount" resulting in the unit not being
configured as defined.  Preserve escape characters again for
compatibility with existing preset definitions.

systemctl: start_unit() returns > 0 on error, let's catch that properly

Let's make sure we fall back correctly to initctl when start_unit()
returns an error > 0.

Fixes: #11546

systemctl: use strv_consume() where we can

systemctl: port to static destructors

test-fileio: avoid warning about ineffective comparison

On arm64 with gcc-8.2.1-5.fc29.aarch64:
../src/test/test-fileio.c:645:29: warning: comparison is always false due to limited range of data type [-Wtype-limits]
                 assert_se(c == EOF || safe_fgetc(f, &c) == 1);
                             ^~

Casting c to int is not enough, gcc is able to figure out that the original
type was unsigned and still warns. So let's just silence the warning like
in test-sizeof.c.

sd-bus: reduce scope of variable

sd-bus: avoid IN_SET() invocation with two identical values

Fixes #12036.

../../../src/systemd/src/libsystemd/sd-bus/bus-objects.c: In function ‘add_object_vtable_internal’:
../../../src/systemd/src/basic/macro.h:423:19: error: duplicate case value

test-alloc-util: add a smoke test for greedy_realloc

TODO: add some bootctl items

Merge pull request #12033 from fbuihuu/watched-process-improvments

Watched process improvments

Merge pull request #12047 from poettering/cryptsetup-fixlets

some small cryptsetup, ask-password and allocation fixlets

journal-file: handle SIGBUS on offlining thread

The thread launched in journal_file_set_offline() accesses a memory
mapped file, so it needs to handle SIGBUS. Leave SIGBUS unblocked on the
offlining thread so that it uses the same handler as the main thread.

The result of triggering SIGBUS in a thread where it's blocked is
undefined in Linux. The tested implementations were observed to cause
the default handler to run, taking down the whole journald process.

We can leave SIGBUS unblocked in multiple threads since it's handler is
thread-safe. If SIGBUS is sent to the journald process asynchronously
(i.e. with kill, sigqueue, or raise), either thread handling it will
result in the same behavior: it will install the default handler and
reraise the signal, killing the process.

Fixes: #12042

Merge pull request #12024 from poettering/bindtoifindex

use SO_BINDTOIFINDEX where appropriate

scope: tiny cleanup: UNIT(s) -> u

No functional changes.

core: only watch processes when it's really necessary

If we know that main pid is our child then it's unnecessary to watch all
other processes of a unit since in this case we will get SIGCHLD when the main
process will exit and will act upon accordingly.

So let's watch all processes only if the main process is not our child since in
this case we need to detect when the cgroup will become empty in order to
figure out when the service becomes dead. This is only needed by cgroupv1.

core: reduce the number of stalled PIDs from the watched processes list when possible

Some PIDs can remain in the watched list even though their processes have
exited since a long time. It can easily happen if the main process of a forking
service manages to spawn a child before the control process exits for example.

However when a pid is about to be mapped to a unit by calling unit_watch_pid(),
the caller usually knows if the pid should belong to this unit exclusively: if
we just forked() off a child, then we can be sure that its PID is otherwise
unused. In this case we take this opportunity to remove any stalled PIDs from
the watched process list.

If we learnt about a PID in any other form (for example via PID file, via
searching, MAINPID= and so on), then we can't assume anything.

process-util: introduce pid_is_my_child() helper

No functional changes.

ask-password: add extra paranoid overflow check

alloc-util: typo fix

alloc-util: use malloc_usable_size() to determine allocated size

It's a glibc-specific API, but supported on FreeBSD and musl too at
least, hence fairly common. This way we can reduce our calls to
realloc() as much as possible.

alloc-util: add extra overflow checks to GREEDY_REALLOC()

alloc-util: extra paranoid overflow check

ask-password: erase character read with _cleanup_

This is much nicer, since it means we erase the character regardless how
we exit the scope.

cryptsetup: small refactoring

Merge pull request #12034 from poettering/stdio-bridge-fixes

small stdio-bridge and errno-util.h improvements and fixes

Merge pull request #12005 from poettering/exec-dir-fixup

Some fixes to exec directory management

execute: generalize uid/gid handling in two cases for any kind of uid/gid

core: change ownership/mode of the execution directories also for static users

It's probably unexpected if we do a recursive chown() when dynamic users
are used but not on static users.

hence, let's tweak the logic slightly, and recursively chown in both
cases, except when operating on the configuration directory.

Fixes: #11842

execute: remove one redundant comparison check

execute: also do the private/ symlink dance when runtime dir preservation is requested

In that case it's not safe to leave a regular dir around, hence, move it
to private/ too.

execute: use path_join() where appropriate

fs-util: change chmod_and_chown() to not complain if stat data already matches

Let's reduce the chance of failure: if we can't apply the chmod/chown
requested, check if it's applied anyway, and if so, supress the error.

This is even race-free since we operate on an O_PATH fd anyway.

tree-wide: use ERRNO_IS_DISCONNECT() at more places

util: add one more disconnect errno code

stdio-bridge: slightly optimize formatting of structure

stdio-bridge: use SYNTHETIC_ERRNO() where appropriate

stdio-bridge: tweak getopt() case statement a bit

stdio-bridge: fix getopt() parameter list to match reality

stdio-bridge: use ERRNO_IS_DISCONNECT() to detect disconnects

Let's use the macro we already have to make this safer. Moreover log
about all other errors.

util: move ERRNO_IS_xyz macros to errno-util.h

It's where they fit much better.

fd-util: beef up ERRNO_IS_xyz() macros a bit

Let's implicit drop the negation if there is one, to simplify things a
bit, similar how we do it in log_xyz()...

Merge pull request #12028 from poettering/start-limit-hit

core: some start limit checking improvements + refactoring

Revert "Revert "units: lock down logind with fs namespacing options""

This reverts commit 28f38a76345b7548700d2337dd8b9a8c3f5b0643.

The revert was done because Ubuntu CI was completely broken with it. Let's see
if it fares better now.

units: turn off keyring handling for user@.service

This service uses PAM anyway, hence let pam_keyring set things up for
us. Moreover, this way we ensure that the invocation ID is not set for
this service as key, and thus can't confuse the user service's
invocation ID.

Fixes: #11649

journalctl: support `-b all` to negate effect of -b

Also fix an issue where -b without argument didn't always behave as -b0

systemd-cgls: typo error in help command

Correct a small typo error happening on two lines of the help command:
"specifified" instead of "specified".

Change Razer Abyssus DPI in 70-mouse.hwdb (#12029)

As discussed in https://gitlab.freedesktop.org/libinput/libinput/issues/198#note_100642 the DPI for the Razer Abyssus mouse is not 3500 by default, but around 1600-1700 when measured with the mouse-dpi-tool.

So I have done some measurements now and always got a value of about 21000 device units on a distance of 12.5 inch. This would result in a calculated resolution of about 1680 DPI. Since such an odd number does not occur in the hwdb file I decided to round to 1600 DPI.

hwdb: fix trailing newline issue

core: split error list in comment for unit_start() in two

core: change emergency_action() to return void

The function so far always returned -ECANCELLED, which is ignored in all
cases the function is invoked, except one: in unit_test_start_limit()
where -ECANCELLED is returned when the start limit is hit, which is part
of unit_start()'s protocol of return values.

Since the emergency_action() logic should be relatively generic and is
used in many places, let's drop the return value from it, since it's
constant anyway, and in alll cases useless. Instead, let's return it in
unit_test_start_limit(), where it's part of the protocol.

No change in behaviour.

core: check start limit on condition checks too

Let's add a safety precaution: if the start condition checks for a unit
are tested too often and fail each time, let's rate limit this too.

This should add extra safety in case people define .path, .timer or
.automount units that trigger a service that as a conditoin that always
fails.

core: modernize unit_start() a bit

No change in behaviour, just a re-line-breaking of the various comments
to our current coding style, and some use of SYNTHETIC_ERRNO().

core: unify code for checking whether unit to trigger is loaded

core: rename unit_{start_limit|condition|assert}_test() to unit_test_xyz()

Just some renaming, no change in behaviour.

Background: I'd like to add more functions unit_test_xyz() that test
various things, hence let's streamline the naming a bit.

core: add comment explaining ECOMM return value of unit_start()

we explain all other return values, explain these ones too.

bus: fix memleak on invalid message

Introduced in 6d586a13717ae057aa1b4127400c3de61cd5b9e7.
Reported by Felix Riemann in https://bugzilla.redhat.com/show_bug.cgi?id=1685286.

Reproducer:
for i in `seq 1 100`; do gdbus call --session -d org.freedesktop.systemd1 -m org.freedesktop.systemd1.Manager.StartUnit -o "/$(for x in `seq 0 28000`; do echo -n $x; done)" & done

tree-wide: fix false search hits with ppp (typos)

tree-wide: port various users over to socket_bind_to_ifindex()

socket-util: add wrappers for binding socket to ifindex/ifname

socket_bind_to_ifindex() uses the the SO_BINDTOIFINDEX sockopt of kernel
5.0, with a fallback to SO_BINDTODEVICE on older kernels.

socket_bind_to_ifname() is a trivial wrapper around SO_BINDTODEVICE, the
only benefit of using it instead of SO_BINDTODEVICE directly is that it
determines the size of the interface name properly so that it also works
for unbinding. Moreover, it's an attempt to unify our invocations of the
sockopt with a size of strlen(ifname) rather than strlen(ifname)+1...

Update 60-sensor.hwdb for Acer Acer One 10 S1002

Tested on GNOME iio-sensor-proxy. With this config touchscreen auto-rotation works fine.

fuzz-calendarspec: actually run the second part of the fuzzer

https://github.com/systemd/systemd/pull/11975#issuecomment-473467475

Merge pull request #11975 from keszybz/fuzzer-fixes-n

Fixes for a few fuzzer issues

Merge pull request #12016 from yuwata/fix-two-memleaks-found-by-oss-fuzz

Fix two memleaks found by oss fuzz

Merge pull request #12015 from keszybz/fix-tests-in-rawhide

Fix compilation and tests in Fedora rawhide

man: clarify that /run/media/system/ is where mounts are placed by default

Prompted by the discussions on: https://github.com/systemd/systemd/issues/11982#issuecomment-472781806

network: clear previous assignment

Prompted by oss-fuzz#13719.

fuzz: add testcase for oss-fuzz#13691

nspawn: fix memleak

Fixes oss-fuzz#13691.