RELEASE-NOTES: synced with 8fd2a754f0de

CURLOPT_KEEP_SENDING_ON_ERROR.3: mention when it is added

memdup: use 'void *' as return and source type

TODO: Add easy argument to formpost functions

formpost: trying to attach a directory no longer crashes

The error path would previously add a freed entry to the linked list.

Reported-by: Toby Peterson
Fixes #1053

cookies: same domain handling changed to match browser behavior

Cokie with the same domain but different tailmatching property are now
considered different and do not replace each other.  If header contains
following lines then two cookies will be set: Set-Cookie: foo=bar;
domain=.foo.com; expires=Thu Mar 3 GMT 8:56:27 2033 Set-Cookie: foo=baz;
domain=foo.com; expires=Thu Mar 3 GMT 8:56:27 2033

This matches Chrome, Opera, Safari, and Firefox behavior. When sending
stored tokens to foo.com Chrome, Opera, Firefox store send them in the
stored order, while Safari pre-sort the cookies.

Closes #1050

FAQ: Fix typos in section 5.14 (#1047)

Type required for YourClass::func C++ function (using size_t in line
with the documentation for CURLOPT_WRITEFUNCTION) and missing second
colon when specifying the static function for CURLOPT_WRITEFUNCTION.

KNOWN_BUGS: Fix typos in section 5.8.

Closes #1046

CONTRIBUTE.md: Fix typo in 'About pull requests' section. (#1045)

curl.1: --trace supports % for sending to stderr!

KNOWN_BUGS: 5.8 configure finding libs in wrong directory

configure: Fixed builds with libssh2 in a custom location

A libssh2 library in the standard system location was being used in
preference to the desired one while linking.

SECURITY: remove the top ascii logo

New libcurl option to keep sending on error

Add the new option CURLOPT_KEEP_SENDING_ON_ERROR to control whether
sending the request body shall be completed when the server responds
early with an error status code.

This is suitable for manual NTLM authentication.

Reviewed-by: Jay Satiro
Closes https://github.com/curl/curl/pull/904

nss: add chacha20-poly1305 cipher suites if supported by NSS

nss: add cipher suites using SHA384 if supported by NSS

nss: fix typo in ecdhe_rsa_null cipher suite string

As it seems to be a rarely used cipher suite (for securely established
but _unencrypted_ connections), I believe it is fine not to provide an
alias for the misspelled variant.

docs: Remove that --proto is just used for initial retrieval

.. and add that --proto-redir and CURLOPT_REDIR_PROTOCOLS do not
override protocols denied by --proto and CURLOPT_PROTOCOLS.

- Add a test to enforce: --proto deny must override --proto-redir allow

Closes https://github.com/curl/curl/pull/1031

dist: add CurlSymbolHiding.cmake to the tarball

Follow-up to 6140dfcf3e784

Reported-by: Alexander Sinditskiy

curl_global_cleanup.3: don't unload the lib with sub threads running

Discussed in #997

Assisted-by: Jay Satiro

MAIL-ETIQUETTE: language

easy: Reset all statistical session info in curl_easy_reset

Bug: https://github.com/curl/curl/issues/1017
Reported-by: Jeroen Ooms

RELEASE-NOTES: synced with 79607eec51055

darwinssl: Fix typo in comment

Closes https://github.com/curl/curl/pull/1028

libressl: fix version output

LibreSSL defines `OPENSSL_VERSION_NUMBER` as `0x20000000L` for all
versions returning `LibreSSL/2.0.0` for any LibreSSL version.

This change provides a local OpenSSL_version_num function replacement
returning LIBRESSL_VERSION_NUMBER instead.

Closes #1029

TODO: Add PINNEDPUBLICKEY - HPKP compatibility, HSTS & HPKP

Closes #1025
Closes #1026
Closes #1027

openssl: don't call ERR_remote_thread_state on >= 1.1.0

Follow-up fix to d9321562

openssl: don’t call CRYTPO_cleanup_all_ex_data

The OpenSSL function CRYTPO_cleanup_all_ex_data() cannot be called
multiple times without crashing - and other libs might call it! We
basically cannot call it without risking a crash. The function is a
no-op since OpenSSL 1.1.0.

Not calling this function only risks a small memory leak with OpenSSL <
1.1.0.

Bug: https://curl.haxx.se/mail/lib-2016-09/0045.html
Reported-by: Todd Short

TODO: Support SSLKEYLOGFILE

CURLOPT_PINNEDPUBLICKEY.3: fix the AVAILABILITY formatting

darwinssl: disable RC4 cipher-suite support

RC4 was a nice alternative to CBC back in the days of BEAST, but it's insecure and obsolete now.

configure: change "iOS/Mac OS X native" to "Apple OS native"

Since I first wrote that text, Apple introduced tvOS and watchOS, and renamed "Mac OS X" to "macOS." Let's make the text a little more inclusive, since curl can be built for all four operating systems.

test2048: fix url

examples/imap-append: Set size of data to be uploaded

Prior to this commit this example failed with error
'Cannot APPEND with unknown input file size'.

Bug: https://github.com/curl/curl/issues/1008
Reported-by: lukaszgn@users.noreply.github.com
Closes https://github.com/curl/curl/pull/1011

LICENSE-MIXING.md: update with mbedTLS dual licensing

Recent versions of mbedTLS are available under either Apache 2.0 or GPL
2.0, see https://tls.mbed.org/how-to-get

Closes #1019

KNOWN_BUGS: chunked-encoded requests with HTTP/2 is fixed

http2: debug ouput sent HTTP/2 request headers

http: accept "Transfer-Encoding: chunked" for HTTP/2 as well

... but don't send the actual header over the wire as it isn't accepted.
Chunked uploading is still triggered using this method.

Fixes #1013
Fixes #662

openssl: fix per-thread memory leak usiong 1.0.1 or 1.0.2

OpenSSL 1.0.1 and 1.0.2 build an error queue that is stored per-thread
so we need to clean it when easy handles are freed, in case the thread
will be killed in which the easy handle was used. All OpenSSL code in
libcurl should extract the error in association with the error already
so clearing this queue here should be harmless at worst.

Fixes #964

RELEASE-NOTES: reset and go toward 7.51.0 (again)

THANKS: updated with curl 7.50.3 contributors

RELEASE-NOTES: curl 7.50.3

test1605: verify negative input lengths to (un)escape functions

curl_easy_unescape: deny negative string lengths as input

CVE-2016-7167

Bug: https://curl.haxx.se/docs/adv_20160914.html

curl_easy_escape: deny negative string lengths as input

CVE-2016-7167

Bug: https://curl.haxx.se/docs/adv_20160914.html

curl: make --create-dirs on windows grok both forward and backward slashes

Reported-by: Ryan Scott
Fixes #1007

RELEASE-NOTES: synced with 665694979b6

mbedtls: switch off NTLM in build if md4 isn't available

NTLM support with mbedTLS was added in 497e7c9 but requires that mbedTLS
is built with the MD4 functions available, which it isn't in default
builds. This now adapts if the funtion isn't there and builds libcurl
without NTLM support if so.

Fixes #1004

CODE_STYLE: fix long-line guideline

- Change maximum allowed line length from 80 to 79.

CODE_STYLE: add column alignment section

Note that since the added examples are for column alignment I had to
encapsulate with ~~~c markdown to preserve their alignment.

cmake: fix curl-config --static-libs

The `curl-config --static-libs` command should not output paths like
-l/usr/lib/libssl.so, instead print the absolute path without `-l`.

This also removes the confusing message "Static linking is broken" which
was printed because curl-config --static-libs was disfunctional even
though the static libcurl.a library works properly.

Fixes https://github.com/curl/curl/issues/841

http: refuse to pass on response body with NO_NODY was set

... like when a HTTP/0.9 response comes back without any headers at all
and just a body this now prevents that body from being sent to the
callback etc.

Adapted test 1144 to verify.

Fixes #973

Assisted-by: Ray Satiro

RELEASE-NOTES: synced with 257bf3ac67eb6

CMake: Don't build unit tests if private symbols are hidden

This only excludes building unit tests from default build ( 'all' Make
target or "Build Solution" in VisualStudio). The projects and Make
targets will still be generated and shown in supporting IDEs.

Fixes https://github.com/curl/curl/issues/981
Reported-by: Randy Armstrong
Closes https://github.com/curl/curl/pull/990

CMake: Try to (un-)hide private library symbols

Detect support for compiler symbol visibility flags and apply those
according to CURL_HIDDEN_SYMBOLS option.
It should work true to the autotools build except it tries to unhide
symbols on Windows when requested and prints warning if it fails.

Ref: https://github.com/curl/curl/issues/981#issuecomment-242665951
Reported-by: Daniel Stenberg

openssl: fix bad memory free (regression)

... by partially reverting f975f06033b1. The allocation could be made by
OpenSSL so the free must be made with OPENSSL_free() to avoid problems.

Reported-by: Harold Stuart
Fixes #1005

http2: support > 64bit sized uploads

... by making sure we don't count down the "upload left" counter when the
uploaded size is unknown and then it can be allowed to continue forever.

Fixes #996

errors: new alias CURLE_WEIRD_SERVER_REPLY (8)

Since we're using CURLE_FTP_WEIRD_SERVER_REPLY in imap, pop3 and smtp as
more of a generic "failed to parse" introduce an alias without FTP in
the name.

Closes https://github.com/curl/curl/pull/975

bump: toward 7.51.0

HISTORY: remove ascii logo to render nicer on web

curl: whitelist use of strtok() in non-threaded context

checksrc: detect strtok() use

... as that function slipped through once before.

mk-ca-bundle.pl: use SHA256 instead of SHA1

This hash is used to verify the original downloaded certificate bundle
and also included in the generated bundle's comment header. Also
rename related internal symbols to algorithm-agnostic names.

RELEASE-NOTES: curl 7.50.2 release

THANKS: updated for 7.50.2

openssl: fix CURLINFO_SSL_VERIFYRESULT

CURLINFO_SSL_VERIFYRESULT does not get the certificate verification
result when SSL_connect fails because of a certificate verification
error.

This fix saves the result of SSL_get_verify_result so that it is
returned by CURLINFO_SSL_VERIFYRESULT.

Closes https://github.com/curl/curl/pull/995

darwinssl: test for errSecSuccess in PKCS12 import rather than noErr (#993)

While noErr and errSecSuccess are defined as the same value, the API
documentation states that SecPKCS12Import() returns errSecSuccess if
there were no errors in importing. Ensure that a future change of the
defined value doesn't break (however unlikely) and be consistent with
the API docs.

docs: Fix link to CONTRIBUTE in Github contribution guidelines (#994)

openssl: Fix compilation with OPENSSL_API_COMPAT=0x10100000L

With OPENSSL_API_COMPAT=0x10100000L (OpenSSL 1.1 API), the cleanup
functions are unavailable (they're no-ops anyway in OpenSSL 1.1). The
replacements for SSL_load_error_strings, SSLeay_add_ssl_algorithms, and
OpenSSL_add_all_algorithms are called automatically [1][2]. SSLeay() is
now called OpenSSL_version_num().

[1]: https://www.openssl.org/docs/man1.1.0/ssl/OPENSSL_init_ssl.html
[2]: https://www.openssl.org/docs/man1.1.0/crypto/OPENSSL_init_crypto.html

Closes #992

RELEASE-NOTES: synced with 3d4c0c8b9bc1d

http2: return EOF when done uploading without known size

Fixes #982

http2: skip the content-length parsing, detect unknown size

http2: minor white space edit

http2: use named define instead of magic constant in read callback

configure: make the cpp -P detection not clobber CPPFLAGS

CPPPFLAGS is now CPPPFLAG. Fixes CURL_CHECK_DEF.

Fixes #958

speed caps: not based on average speeds anymore

Speed limits (from CURLOPT_MAX_RECV_SPEED_LARGE &
CURLOPT_MAX_SEND_SPEED_LARGE) were applied simply by comparing limits
with the cumulative average speed of the entire transfer; While this
might work at times with good/constant connections, in other cases it
can result to the limits simply being "ignored" for more than "short
bursts" (as told in man page).

Consider a download that goes on much slower than the limit for some
time (because bandwidth is used elsewhere, server is slow, whatever the
reason), then once things get better, curl would simply ignore the limit
up until the average speed (since the beginning of the transfer) reached
the limit.  This could prove the limit useless to effectively avoid
using the entire bandwidth (at least for quite some time).

So instead, we now use a "moving starting point" as reference, and every
time at least as much as the limit as been transferred, we can reset
this starting point to the current position. This gets a good limiting
effect that applies to the "current speed" with instant reactivity (in
case of sudden speed burst).

Closes #971

HISTORY.md: the multi socket was put in the wrong year!

tool_helpers.c: fix comment typo (#989)

libtest/test.h: fix typo (#988)

CURLMOPT_PIPELINING.3: language

CURLMOPT_PIPELINING.3: extended and clarified

Especially in regards to the multiplexing part.

curl_sspi.c: Updated function description comments

* Added description to Curl_sspi_free_identity()
* Added parameter and return explanations to Curl_sspi_global_init()
* Added parameter explaination to Curl_sspi_global_cleanup()

README: Corrected the supported Visual Studio versions

Missed from commit 8356022d17.

KNOWN_BUGS: Move the Visual Studio project shortcomings from local README

KNOWN_BUGS: Expand 6.4 to include Kerberos V5

...and discuss a possible solution.

connect: fix #ifdefs for debug versions of conn/streamclose() macros

CURLDEBUG is for the memory debugging

DEBUGBUILD is for the extra debug stuff

Pointed-out-by: Steve Holme

KNOWN_BUGS: mention some cmake "support gaps"

darwinssl: add documentation stating that the --cainfo option is intended for backward compatibility only

In other news, I changed one other reference to "Mac OS X" in the documentation (that I previously wrote) to say "macOS" instead.

http2: return CURLE_HTTP2_STREAM for unexpected stream close

Follow-up to c3e906e9cd0f, seems like a more appropriate error code

Suggested-by: Jay Satiro

http2: handle closed streams when uploading

Fixes #986

http2: make sure stream errors don't needlessly close the connection

With HTTP/2 each transfer is made in an indivial logical stream over the
connection, making most previous errors that caused the connection to get
forced-closed now instead just kill the stream and not the connection.

Fixes #941

Curl_verify_windows_version: minor edit to avoid compiler warnings

... instead of if() before the switch(), add a default to the switch so
that the compilers don't warn on "warning: enumeration value
'PLATFORM_DONT_CARE' not handled in switch" anymore.

RELEASE-NOTES: Added missing fix from commit 15592143f

schannel: Disable ALPN for Wine since it is causing problems

- Disable ALPN on Wine.

- Don't pass input secbuffer when ALPN is disabled.

When ALPN support was added a change was made to pass an input secbuffer
to initialize the context. When ALPN is enabled the buffer contains the
ALPN information, and when it's disabled the buffer is empty. In either
case this input buffer caused problems with Wine and connections would
not complete.

Bug: https://github.com/curl/curl/issues/983
Reported-by: Christian Fillion

nss: work around race condition in PK11_FindSlotByName()

Serialise the call to PK11_FindSlotByName() to avoid spurious errors in
a multi-threaded environment. The underlying cause is a race condition
in nssSlot_IsTokenPresent().

Bug: https://bugzilla.mozilla.org/1297397

Closes #985

nss: refuse previously loaded certificate from file

... when we are not asked to use a certificate from file

ftp_done: remove dead code

TLS: random file/egd doesn't have to match for conn reuse

test161: add comment for the exit code

test219: Add http as a required feature