journald: correct field counts

N_IOVEC_OBJECT_FIELDS is bumped 14 → 18 (see dispatch_message_real() and
count!)

N_IOVEC_PAYLOAD_FIELDS is bumped 15 → 16 (see
server_space_usage_message() and count!)

Also, add comments, to make clear what is what.

journal: driver messages can now contain object fields, account for that

In some cases we can now log about processes, hence we must keep room
for that.

Merge pull request #7492 from keszybz/coverity-fixes

A few more cleanups based on coverity and valgrind

udev/collect: use _cleanup_ in one more place

This doesn't make the code pretty, but it at least makes it a tiny bit shorter.

udev/collect: remove dead conditional

Coverity rightly says that 'word' is assigned to 'ptr', and 'word'
was assigned from 'ptr' (yikes) right after a non-null check.

journal: avoid undefined behaviour in float division by 0.0

Coverity says that's undefined. I'm pretty sure we always would get a nan, but
let's avoid (formally) undefined behaviour since that can cause compilers to do
strange things.

networkd: fix memleak of Rules

This was the issue mentioned in 93f9da6e0a.

journal: use new helpers with journal_file_close

journal_file_close_set() is not necessary anymore.

journal-remote: add helper function and use hashmap_free_with_destructor

cryptsetup-generator: add helper function and use hashmap_free_with_destructor

coredump: fix typo and use hashmap_free_with_destructor

machine-image: convert image_hashmap_free() to an static inline helper

Add set/hashmap helpers for non-trivial freeing and use where straighforward

A macro is needed because otherwise we couldn't ensure type safety.
Some simple tests are included.
No functional change intended.

Use hashmap_free_free where appropriate

Merge pull request #7490 from yuwata/test-basic

add more tests for basic functions

networkd: Add comment for setting_mtu #7460 (#7489)

Follow up #7460

Merge pull request #7486 from keszybz/coverity-fixes

Fixes for issues spotted by coverity (and some cleanups)

test-cap-list: add more tests about capability_set_{from,to}_string()

test: move tests about cap_list_cap() from test-cap-list to test-capability

cap-list: check range of numeric value

test-bitmap: add tests for bitmap_copy()

test-architecture: add more tests

test-alloc-util: add tests for memdup_suffix0() and greedy_realloc()

tests: add tests for empty string

alloc-util: coding style fix

Merge pull request #7398 from keszybz/udev-list

udev: use list.h instead of udev_list_node

Merge pull request #7484 from poettering/sd-resolve-timeout

timeout sd-resolve tests

pid1: improve syntax in error message

pid1: clarify that min_max is always initialized

read_one_line_file() always returns <= 0, so the code was OK, but let's write
the check a bit differently to make it obvious that min_max is always set.

test-hostname-util: add assert_se's to make coverity happy

test-process-util: add (void) cast to make coverity happy

The intent is for the call to succeed only when privileged, so make
that clear.

test-fd-util: add assert_se to make coverity happy

udevadm-monitor: add some assert_se's to make coverity happy

We do that elsewhere and it's nice to be consistent.

core/umount: use _cleanup_ in one more place

sd-resolve: check that name fits in the specified packet length

Coverity complained that we didn't check if the data is long enough.

shim: fix logically dead code

The alternate verification path could never be taken.

Found by coverity.

networkd: remove dead code

Found by coverity.

test-ndisc-ra: add assert_se() to make coverity happy

boot/shim: fix char ** vs char * mismatch

This code cannot have ever worked ;(

Found by coverity, obvious when the type is not obfuscated to void*.

boot/efi: fix NULL dereference

The comment above makes the intent of the code pretty clear:
"use security2_protocol == NULL as indicator".
So revert the condition in the check and fix the logic in the comment while
at it.

The question is how this could have ever worked: if BS->LocateProtocol
(which is supposedly optional) ever failed, we'd crash here. Strange.

Found by coverity.

dissect-image: simplify check for passphrase presence

m->encrypted is set when fstype=="crypto_LUKS", but this is not obvious when
reading decrypt_partition(). Just check if passphrase is set before using
it.

networkd: fix reversed arguments

Found by coverity.

Also drop unused return value while at it.

networkd: plug some memleaks in rule serialization/deserialization

This fixes the (mostly theoretical, since we're only parsing data that we write
ourselves) memleak when iif or oif is deserialized multiple times. Unfortunately
it does not fix the memleak when rule is freed, but that'll require a bigger
effort.

networkd: fix serialization of {Incoming,Outgoing}Interface

Let's just say that the code wasn't fully functional ;(

Since we only had the parser for serialization, and not the writer, we are
free to change the format. So while at it, let's use shorter names in the
serialization format that match the surrounding style.

Add test-routing-policy-rule

test-network: use automatic cleanup

networkd: parse the rvalue, not the option name

:(

networkd: move rule loading to a separate function

No functional change.

Merge pull request #7316 from poettering/fd-store-remove

add new FDSTOREREMOVE=1 sd_notify() message

Added Logitech MX Master 2s (#7487)

test-resolve: make sure we don't hang forever

If test-resolve is running in some CI environment that doesn't have
reliably working DNS, it's a good idea not to hang forever, let's
time-out after 20s

sd-resolve: propagate timeouts in sd_resolve_wait() the same way as in sd_bus_wait(): ETIMEDOUT

Thankfully this is an internal API still, so we can mkae changes like
this.

service: shortcut operations if the MAINPID= doesn't actually cause a change

service: use parse_errno() for parsing error numbers

Let's always use the same logic when parsing error numbers, i.e. use
parse_errno() here too, to unify some code, and tighten the checks a
bit.

This also allows clients to pass errors as symbolic names. Probably
nothing we want to advertise too eagerly (since new daemons generating
this on old service managers won't understand), but still pretty
useful I think, in particular in scripting languages and such, where the
numeric error numbers might not be readily available.

update TODO

logind: use the new FDSTOREREMOVE=1 sd_notify() message

Let's explicitly tell PID 1 that we don't need an fd anymore, instead of
relying exclusively on POLLERR/POLLHUP for it to be removed.

Fixes: #6908

core: add a new sd_notify() message for removing fds from the FD store again

Currenly the only way to remove fds from the fdstore is to fully
stop the service, or to somehow trigger POLLERR/POLLHUP on the fd, in
which case systemd will remove the fd automatically.

Let's add another way: a new message that can be sent to remove fds
explicitly, given their name.

man: slightly improve the sd_notify() documentation regarding READY=1

READY=1 may be used to signal when a service finished startup, but also
when it finished reloading. Say so.

core: only process one of READY=1, STOPPING=1 or RELOADING=1 in sd_notify() handling

Of course, it's not really a valid sd_notify() message if multiple of
these fields are used in one, but let's handle this somewhat gracefully,
by only processing one of them, and ignoring the rest.

service: reorder sd_notify() handling a bit

Let's keep handling of WATCHDOG= and WATCHDOG_USEC= together. No
functional changes.

service: split out sd_notify() message authorization code into a function of its own

Let's shorten service_notify_message() a bit, and do the authentication
outside of the main function body.

No functional changes.

core: only log about sd_notify() message contents, when debug logging is on

Let's optimize things a bit for the non-debug case. No change in
behaviour.

Main reason to do this is not so much the speed benefit though, but
merely to isolate the code from its surroundings more.

Corrected Chuwi HiBook entry (#7483)

networkd: Free Prefix in case allocation fails (#7480)

Set the code to call _cleanup_prefix_free_ in case the next allocation
fails so that Prefix does not leak memory.

Reported by evverx.

networkd: unbork rule serialization

We'd write something like

RULE=from=250.250.240.0/24 to=(null)/0 tos=0 fwmark=0/0 table=12
RULE=from=250.250.250.0/24 to=(null)/0 tos=0 fwmark=0/0 table=11

logind: make sure we don't acces m->action_what if it's not initialized (#7475)

Fixes: #7466

Merge pull request #7472 from keszybz/tests-on-a-slow-disk

Tests on a slow disk

networkd: DHCP client do not get into a loop while setting MTU (#7460)

Some devices get reset itself while setting the MTU. we get in to a LOOP .
Once the MTU changed then the DHCP client talking with DHCP server never stops.
networkd gets into a loop and generates endless DHCP requests.

fixes #6593
fixes #7380

test: increase the timeout for hwdb-test

This test does a lot of mmap/madvise/unmmap, which is slow under address sanitizer.
Just increase the timeout to avoid spurious failure.

test: increase timeout for test-journal-enum

This reads the journal from the host system, and in case of a slow
disk, the 30s default can be easily exceeded.

exec-util: initialize `new` before using it (#7471)

CID #1383004

Merge pull request #7464 from poettering/cgroup-control-fix

various cgroup fixes

Merge pull request #7468 from yuwata/fix-7362

test and meson cleanups

Merge pull request #7467 from yuwata/fix-7302

nspawn: adjust path to static resolv.conf to support split usr

fileio: include sys/mman.h

meson: update header file to detect memfd_create()

update TODO

core: warn about left-over processes in cgroup on unit start

Now that we don't kill control processes anymore, let's at least warn
about any processes left-over in the unit cgroup at the moment of
starting the unit.

core: generalize the cgroup empty check on GC

Let's move the cgroup empty check for all unit types into the generic
unit_check_gc() call, out of the per-unit-type _check_gc() type. This
not only allows us to share some code, but also hooks up mount and
socket units with this kind of check, for free, as it was missing there
previously.

cgroup: remove logic for maintaining /control subcgroup for the service unit type

Previously, in the service unit type we ran all control processes in a
special subcgroup /control of the unit's main cgroup. Remove that, and
run the control program in the main cgroup instead.

The concept conflicts with cgroupv2's logic of "no processes in inner
nodes": if a unit has a main daemon process running in the main cgroup,
and a reload control process would be started in the /control subcgroup,
then this would necessarily fail, as the main daemon process would
become an inner node process that way.

We could in theory continue to support this in cgroupv1, but in the
interest in keeping behaviour similar in both hierarchies, let's drop
this altogether.

Philosophically maybe it wasn't the greatest idea anyway to just go
berserk and SIGKILL all those processes — loud warning logging might
have sufficed, too.

unit: initialize bpf cgroup realization state properly

Before this patch, the bpf cgroup realization state was implicitly set
to "NO", meaning that the bpf configuration was realized but was turned
off. That means invalidation requests for the bpf stuff (which we issue
in blanket fashion when doing a daemon reload) would actually later
result in a us re-realizing the unit, under the assumption it was
already realized once, even though in reality it never was realized
before.

This had the effect that after each daemon-reload we'd end up realizing
*all* defined units, even the unloaded ones, populating cgroupfs with
lots of unneeded empty cgroups.

With this fix we properly set the realiazation state to "INVALIDATED",
i.e. indicating the bpf stuff was never set up for the unit, and hence
when we try to invalidate it later we won't do anything.

cgroup: when dispatching the cgroup realization queue, check again if we shall actually realize

We add units to the cgroup realization queue when propagating realizing
requests to sibling units, and when invalidating cgroup settings because
some cgroup setting changed. In the time between where we add the unit
to the queue until the cgroup is actually dispatched the unit's state
might have changed however, so that the unit doesn't actually need to be
realized anymore, for example because the unit went down. To handle
that, check the unit state again, if realization makes sense.

Redundant realization is usually not a problem, except when the unit is
not actually running, hence check exactly for that.

cgroup: drop unused parameter from function

cgroup-util: merge cg_set_tasks_access() and cg-set_group_access() into one

We never use these functions seperately, hence don't bother splitting
them into to.

Also, simplify things a bit, and maintain tables for the attribute files
to chown. Let's also update those tables a bit, and include thenew
"cgroup.threads" file in it, that needs to be delegated too, according
to the documentation.

mkosi: let's switch to the unified mode for mkosi

This is a toolconfiguration for developers, and hence most likely should
be the first thing to be switched over. Do so.

test: set log_level to info in test-hwdb and check-help-*

These tests check the stderr. So, if the systemd.log_level=debug
is set in the kernel command line, then these tests fail.
This set log_level to info in hwdb-test.sh and meson-check-help.sh,
the kernel command line not to change the output of the target
programs.

Fixes #7362.

Added Chuwi HiBook support (#7465)

Merge pull request #7449 from yuwata/clang-warnings

Several cleanups

nspawn: adjust path to static resolv.conf to support split usr

Fixes #7302.

meson: remove abbreviations in status

firstboot: do not write vconsole.conf when arg_keymap is empty

machine: remove unused variables

journald: add _printf_ attribute to server_driver_message()

tests: make "test-execute" work in "sudo ninja -C build test" (#7463)

In this mode USER/LOGNAME still point to the original caller, and our
tests get confused by that.

Follow-up for: #7450

tmpfiles: check if not too many symbolic links. (#7423)

Some filesystems do not set d_type value when
readdir is called, so entry type is unknown.
Therefore check if accessing entry does not
return ELOOP error.

core: remove empty cgroups (#7457)

When we skip an unwritable cgroup also remove the empty mountpoint.

networkd: auto promote links if "promote_secondaries" is unset (#7167)

The DHCP code in systemd-networkd relies on the
`net.ipv4.conf.{default,all,<if>}.promote_secondaries` sysctl to be set
(the kernels default is that it is unset). If this sysctl is not set
DHCP will work most of the time, however when the IP address changes
between leases then the system will loose its IP.

Because some distributions decided to not ship these defaults (Debian
is an example and via downstream Ubuntu) networkd by default will now
enable this sysctl opton automatically.

nspawn: hash the machine name, when looking for a suitable UID base (#7437)

When "-U" is used we look for a UID range we can use for our container.
We start with the UID the tree is already assigned to, and if that
didn't work we'd pick random ranges so far. With this change we'll first
try to hash a suitable range from the container name, and use that if it
works, in order to make UID assignments more likely to be stable.

This follows a similar logic PID 1 follows when using DynamicUser=1.

Merge pull request #7442 from poettering/scope-fixes

some fixes to the scope unit type

systemctl: ignore shutdown's "-t" argument (#7459)

We should not only ignore "-t" itself, but also whatever is passed to
it.

This pretty much reverts the core of
a4420f7b8ed73b05ef6f31622101e7804daef69f, and adds back in the status
quo ante. What a difference a ':' can make.

This also adds a quick comment for this, so that we don't make this
mistake again.

Fixes: #7413