free: instead of Curl_safefree()

Since we just started make use of free(NULL) in order to simplify code,
this change takes it a step further and:

- converts lots of Curl_safefree() calls to good old free()
- makes Curl_safefree() not check the pointer before free()

The (new) rule of thumb is: if you really want a function call that
frees a pointer and then assigns it to NULL, then use Curl_safefree().
But we will prefer just using free() from now on.

Bug #149: Deletion of unnecessary checks before a few calls of cURL functions

The following functions return immediately if a null pointer was passed.
* Curl_cookie_cleanup
* curl_formfree

It is therefore not needed that a function caller repeats a corresponding check.

This issue was fixed by using the software Coccinelle 1.0.0-rc24.

Signed-off-by: Markus Elfring <elfring@users.sourceforge.net>

Bug #149: Deletion of unnecessary checks before calls of the function "free"

The function "free" is documented in the way that no action shall occur for
a passed null pointer. It is therefore not needed that a function caller
repeats a corresponding check.
http://stackoverflow.com/questions/18775608/free-a-null-pointer-anyway-or-check-first

This issue was fixed by using the software Coccinelle 1.0.0-rc24.

Signed-off-by: Markus Elfring <elfring@users.sourceforge.net>

connect: Fix happy eyeballs logic for IPv4-only builds

Bug: https://github.com/bagder/curl/pull/168

(trynextip)
- Don't try the "other" protocol family unless IPv6 is available. In an
IPv4-only build the other family can only be IPv6 which is unavailable.

This change essentially stops IPv4-only builds from attempting the
"happy eyeballs" secondary parallel connection that is supposed to be
used by the "other" address family.

Prior to this change in IPv4-only builds that secondary parallel
connection attempt could be erroneously used by the same family (IPv4)
which caused a bug where every address after the first for a host could
be tried twice, often in parallel. This change fixes that bug. An
example of the bug is shown below.

Assume MTEST resolves to 3 addresses 127.0.0.2, 127.0.0.3 and 127.0.0.4:

* STATE: INIT => CONNECT handle 0x64f4b0; line 1046 (connection #-5000)
* Rebuilt URL to: http://MTEST/
* Added connection 0. The cache now contains 1 members
* STATE: CONNECT => WAITRESOLVE handle 0x64f4b0; line 1083
(connection #0)
*   Trying 127.0.0.2...
* STATE: WAITRESOLVE => WAITCONNECT handle 0x64f4b0; line 1163
(connection #0)
*   Trying 127.0.0.3...
* connect to 127.0.0.2 port 80 failed: Connection refused
*   Trying 127.0.0.3...
* connect to 127.0.0.3 port 80 failed: Connection refused
*   Trying 127.0.0.4...
* connect to 127.0.0.3 port 80 failed: Connection refused
*   Trying 127.0.0.4...
* connect to 127.0.0.4 port 80 failed: Connection refused
* connect to 127.0.0.4 port 80 failed: Connection refused
* Failed to connect to MTEST port 80: Connection refused
* Closing connection 0
* The cache now contains 0 members
* Expire cleared
curl: (7) Failed to connect to MTEST port 80: Connection refused

The bug was born in commit bagder/curl@2d435c7.

mksymbolsmanpage.pl: use std header and generate better nroff header

closesocket: call multi socket cb on close even with custom close

In function Curl_closesocket() in connect.c the call to
Curl_multi_closed() was wrongly omitted if a socket close function
(CURLOPT_CLOSESOCKETFUNCTION) is registered.

That would lead to not removing the socket from the internal hash table
and not calling the multi socket callback appropriately.

Bug: http://curl.haxx.se/bug/view.cgi?id=1493

hostip: Fix signal race in Curl_resolv_timeout.

A signal handler for SIGALRM is installed in Curl_resolv_timeout. It is
configured to interrupt system calls and uses siglongjmp to return into
the function if alarm() goes off.

The signal handler is installed before curl_jmpenv is initialized.
This means that an already installed alarm timer could trigger the
newly installed signal handler, leading to undefined behavior when it
accesses the uninitialized curl_jmpenv.

Even if there is no previously installed alarm available, the code in
Curl_resolv_timeout itself installs an alarm before the environment is
fully set up. If the process is sent into suspend right after that, the
signal handler could be called too early as in previous scenario.

To fix this, the signal handler should only be installed and the alarm
timer only be set after sigsetjmp has been called.

http2: detect prematures close without data transfered

... by using the regular Curl_http_done() method which checks for
that. This makes test 1801 fail consistently with error 56 (which seems
fine) to that test is also updated here.

Reported-by: Ben Darnell
Bug: https://github.com/bagder/curl/issues/166

test320: Expect the Host header to be the first header

Required for the test to work after a5d994941c2b.

RELEASE-NOTES: synced with 186e46d88dd

openssl: use colons properly in the ciphers list

While the previous string worked, this is the documented format.

Reported-by: Richard Moore

openssl: sort the ciphers on strength

This makes curl pick better (stronger) ciphers by default. The strongest
available ciphers are fine according to the HTTP/2 spec so an OpenSSL
built curl is no longer rejected by string HTTP/2 servers.

Bug: http://curl.haxx.se/bug/view.cgi?id=1487

test203[0-3]: Expect the Host header to be the first header

Required for the tests to work after a5d994941c2b.

openssl: show the cipher selection to use

http: always send Host: header as first header

...after the method line:

 "Since the Host field-value is critical information for handling a
 request, a user agent SHOULD generate Host as the first header field
 following the request-line." / RFC 7230 section 5.4

Additionally, this will also make libcurl ignore multiple specified
custom Host: headers and only use the first one. Test 1121 has been
updated accordingly

Bug: http://curl.haxx.se/bug/view.cgi?id=1491
Reported-by: Rainer Canavan

mk-ca-bundle bugfix: Don't report SHA1 numbers with "-q".

Also unified printing to STDERR by creating the helper method "report".

proxy: re-use proxy connections (regression)

When checking for a connection to re-use, a proxy-using request must
check for and use a proxy connection and not one based on the host
name!

Added test 1421 to verify

Bug: http://curl.haxx.se/bug/view.cgi?id=1492

memanalyze.pl: handle free(NULL)

.travis.yml: Change CI make test to make test-full

- Change the continuous integration script to use 'make test-full'
instead of just 'make test' so that the diagnostic log output is
printed to stdout when a test fails.

- Change the continuous integration script to use
'./configure --enable-debug' instead of just './configure' so that the
memory analyzer will work during testing.

Prior to this change Travis used its default C test script:
./configure && make && make test

gtls: correctly align certificate status verification messages

gtls: don't print double newline after certificate dates

gtls: print negotiated TLS version and full cipher suite name

Instead of priting cipher and MAC algorithms names separately, print the
whole cipher suite string which also includes the key exchange algorithm,
along with the negotiated TLS version.

gtls: fix compiler warnings

gtls: add support for CURLOPT_CAPATH

MacOSX-Framework: use @rpath instead of @executable_path

Bug: https://github.com/bagder/curl/pull/157

RELEASE-NOTES: synced with c19349951

multi: fix *getsock() with CONNECT

The code used some happy eyeballs logic even _after_ CONNECT has been
sent to a proxy, while the happy eyeball phase is already (should be)
over by then.

This is solved by splitting the multi state into two separate states
introducing the new SENDPROTOCONNECT state.

Bug: http://curl.haxx.se/mail/lib-2015-01/0170.html
Reported-by: Peter Laser

conncontrol: only log changes to the connection bit

http2: use CURL_HTTP_VERSION_* symbols instead of NPN_*

Since they already exist and will make comparing easier

http2: make the info-message about receiving HTTP2 headers debug-only

urldata: remove unused asked_for_h2 field

polarssl: make it possible to enable ALPN/NPN without HTTP2

nss: make it possible to enable ALPN/NPN without HTTP2

gtls: make it possible to enable ALPN/NPN without HTTP2

openssl: make it possible to enable ALPN/NPN without HTTP2

metalink: add some error checks

malloc() and strdup() calls without checking return codes.

Reported-by: Markus Elfring
Bug: https://github.com/bagder/curl/issues/150

curl_easy_setopt.3: added CURLOPT_SSL_VERIFYSTATUS

Reported-by: Jonathan Cardoso

urldata: fix gnutls build

openssl: Removed use of USE_SSLEAY from the Visual Studio project files

In addition to commit 709cf76f6b, removed the USE_SSLEAY preprocessor
variable from the Visual Studio project files as it isn't required
anymore.

multi: fix memory-leak on timeout (regression)

Since 1342a96ecfe0d44, a timeout detected in the multi state machine didn't
necesarily clear everything up, like formpost data.

Bug: https://github.com/bagder/curl/issues/147
Reported-by: Michel Promonet
Patched-by: Michel Promonet

configure: follow-up fix from 709cf76f6

OpenSSL handling was a little broken.

openssl: remove all uses of USE_SSLEAY

SSLeay was the name of the library that was subsequently turned into
OpenSSL many moons ago (1999). curl does not work with the old SSLeay
library since years. This is now reflected by only using USE_OPENSSL in
code that depends on OpenSSL.

cmake: handle build definitions CURLDEBUG/DEBUGBUILD

Acked-by: Brad King

FAQ: 4.21 Why is there a HTTP/1.1 in my HTTP/2 request?

symbols.pl: handle '-' in the deprecated field

... which otherwise made the script skip the _LAST define for some
symbols.

Reported-by: Jeroen Ooms
Bug: http://curl.haxx.se/mail/lib-2015-03/0052.html

curl.1: fix "The the" typo

Reported-by: Jon Seymour

vtls: use curl_printf.h all over

No need to use _MPRINTF_REPLACE internally.

tool: use ENABLE_CURLX_PRINTF instead of _MPRINTF_REPLACE

tool_writeenv: remove _MPRINTF_REPLACE define, it wasn't used

libtest: fixed linker errors on msvc

Bug: https://github.com/bagder/curl/pull/144

mprintf.h: remove #ifdef CURLDEBUG

... and as a consequence, introduce curl_printf.h with that re-define
magic instead and make all libcurl code use that instead.

tool_getpass: remove unused curl/mprintf.h include

CONTRIBUTING.md: file for advice on github

BINDINGS: add link to Harbour bindings

And UTF8-fix a few names

CURLOPT_HEADERFUNCTION.3: typo in error code name

Reported-by: Jonathan Cardoso

BINDINGS: tclcurl moved

Reporte-by: Steve Havelka

opts: Fix pipelining examples

curl_multi_setopt.3: Link to CURLMOPT_MAXCONNECTS

CONTRIBUTE: the new more github-friendly attitude!

RELEASE-NOTES: Synced with 921d195187

tool: wrap lines longer than 79 columns

... to avoid a build failure when configured with --enable-debug

http2: Return error if stream was closed with other than NO_ERROR

Previously, we just ignored error code passed to
on_stream_close_callback and just return 0 (success) after stream
closure even if stream was reset with error.  This patch records error
code in on_stream_close_callback, and return -1 and use CURLE_HTTP2
error code on abnormal stream closure.

tool: Updated the warnf() function to use the GlobalConfig structure

As the 'error' and 'mute' options are now part of the GlobalConfig,
rather than per Operation, updated the warnf() function to use this
structure rather than the OperationConfig.

build: Removed DataExecutionPrevention directive from VC9+ project files

Removed the DataExecutionPrevention directive from the project files for
Visual Studio 2008 and above. The XML value in the VC9 project files was
set to "0" (Default) whilst the VC10+ project files contained an empty
XML element.

build: Use default RandomizedBaseAddress directive in VC9+ project files

Visual Studio 2008 introduced support for the address space layout
randomization (ASLR) feature of Windows Vista. However, upgrading the
VC8 project files to VC9 and above disabled this feature.

Removed the RandomizedBaseAddress directive to enabled the default
setting (/DYNAMICBASE). Note: This doesn't appear to have any negative
impact when compiled and ran on Windows XP.

build: Added support to Generate.bat for files in the upcoming vauth folder

http2: return recv error on unexpected EOF

Pointed-out-by: Tatsuhiro Tsujikawa
Bug: http://curl.haxx.se/bug/view.cgi?id=1487

dist: add symbol-scan.pl to the tarball

... in order to make test1135 succeed

http2: move lots of verbose output to be debug-only

curl-config.in: eliminate double quotes around CURL_CA_BUNDLE

Otherwise it expands to:

    echo ""/etc/pki/tls/certs/ca-bundle.crt""

Detected by ShellCheck:

    curl-config:74:16: warning: The double quotes around this do
    nothing.  Remove or escape them. [SC2140]

nss: do not skip Curl_nss_seed() if data is NULL

In that case, we only skip writing the error message for failed NSS
initialization (while still returning the correct error code).

nss: improve error handling in Curl_nss_random()

The vtls layer now checks the return value, so it is no longer necessary
to abort if a random number cannot be provided by NSS.  This also fixes
the following Coverity report:

Error: FORWARD_NULL (CWE-476):
lib/vtls/nss.c:1918: var_compare_op: Comparing "data" to null implies that "data" might be null.
lib/vtls/nss.c:1923: var_deref_model: Passing null pointer "data" to "Curl_failf", which dereferences it.
lib/sendf.c:154:3: deref_parm: Directly dereferencing parameter "data".

RELEASE-PROCEDURE: add some more future release dates

... and remove some old ones

sws: timeout idle CONNECT connections

bump: start working toward 7.42.0

THANKS: added contributors from the 7.41.0 RELEASE-NOTES

RELEASE-NOTES: sync with ffc2aeec6e (7.41.0 release time!)

Revert "telnet.c: fix handling of 0 being returned from custom read function"

This reverts commit 03fa576833643c67579ae216c4e7350fa9b5f2fe.

telnet.c: fix invalid use of custom read function if not being set

obj_count can be 1 if the custom read function is set or the stdin
handle is a reference to a pipe. Since the pipe should be handled
using the PeekNamedPipe-check below, the custom read function should
only be used if it is actually enabled.

telnet.c: fix handling of 0 being returned from custom read function

According to [1]: "Returning 0 will signal end-of-file to the library
and cause it to stop the current transfer."
This change makes the Windows telnet code handle this case accordingly.

 [1] http://curl.haxx.se/libcurl/c/CURLOPT_READFUNCTION.html

sws: stop logging about TPC_NODELAY nonsense

lib530: make it less timing sensible

... by making sure the first request is completed before doing the
remainder.

connect: wait for IPv4 connection attempts

... even if the last IPv6 connection attempt has failed.

Bug: https://bugzilla.redhat.com/show_bug.cgi?id=1187531#c4

connect: avoid skipping an IPv4 address

... in case the protocol versions are mixed in a DNS response
(IPv6 -> IPv4 -> IPv6).

Bug: https://bugzilla.redhat.com/show_bug.cgi?id=1187531#c3

RELEASE-NOTES: synced with 5e4395eab839d

ROADMAP: curl_easy_setopt.3 has already been split up

Remove cmake as marked for removal. It is in much better state now.

ROADMAP: extend the HTTP/2 stuff, remove SPDY

configure: allow both --with-ca-bundle and --with-ca-path

SSL_CTX_load_verify_locations by default (and if given non-Null
parameters) searches the CAfile first and falls back to CApath.  This
allows for CAfile to be a basis (e.g. installed by the package manager)
and CApath to be a user configured directory.

This wasn't reflected by the previous configure constraint which this
patch fixes.

Bug: https://github.com/bagder/curl/pull/139

cmake: install the dll file to the correct directory

nss: fix NPN/ALPN protocol negotiation

Correctly check for memcmp() return value (it returns 0 if the strings match).

This is not really important, since curl is going to use http/1.1 anyway, but
it's still a bug I guess.

polarssl: fix ALPN protocol negotiation

Correctly check for strncmp() return value (it returns 0 if the strings
match).

CMake: Fix generation of tool_hugehelp.c on windows

Use "cmake -E echo" instead of "echo".

Reviewed-by: Brad King <brad.king@kitware.com>

CMake: fix winsock2 detection on windows

Set CMAKE_REQUIRED_DEFINITIONS to include definitions needed to get
the winsock2 API from windows.h.  Simplify the order of checks to
avoid extra conditions.

Use check_include_file instead of check_include_file_concat to look
for OpenSSL headers.  They do not need to participate in a sequence
of dependent system headers.  Also they may cause winsock.h to be
included before ws2tcpip.h, causing the latter to not be detected
in the sequence.

Reviewed-by: Brad King <brad.king@kitware.com>

gtls: fix build with HTTP2

Makefile.vc6: Corrected typos in rename of darwinssl.obj

By request, change the name of "curl_darwinssl.[ch]" to "darwinssl.[ch]"

RELEASE-NOTES: Synced with 6f89f86c3d

tests/README: Updated to reflect email test ranges

curl.1: --cert-status is also supported by OpenSSL now

build: Removed Visual Studio SuppressStartupBanner directive for VC8+

Visual Studio 2005 and above defaults to disabling the startup banner
for the Compiler, Linker and MIDL tools (with /NOLOGO). As such there
is no need to explicitly set the SuppressStartupBanner directive, as
this is a leftover from the VC7 and VC7.1 projects being upgraded to
VC8 and above.