configure: change "iOS/Mac OS X native" to "Apple OS native"

Since I first wrote that text, Apple introduced tvOS and watchOS, and renamed "Mac OS X" to "macOS." Let's make the text a little more inclusive, since curl can be built for all four operating systems.

test2048: fix url

examples/imap-append: Set size of data to be uploaded

Prior to this commit this example failed with error
'Cannot APPEND with unknown input file size'.

Bug: https://github.com/curl/curl/issues/1008
Reported-by: lukaszgn@users.noreply.github.com
Closes https://github.com/curl/curl/pull/1011

LICENSE-MIXING.md: update with mbedTLS dual licensing

Recent versions of mbedTLS are available under either Apache 2.0 or GPL
2.0, see https://tls.mbed.org/how-to-get

Closes #1019

KNOWN_BUGS: chunked-encoded requests with HTTP/2 is fixed

http2: debug ouput sent HTTP/2 request headers

http: accept "Transfer-Encoding: chunked" for HTTP/2 as well

... but don't send the actual header over the wire as it isn't accepted.
Chunked uploading is still triggered using this method.

Fixes #1013
Fixes #662

openssl: fix per-thread memory leak usiong 1.0.1 or 1.0.2

OpenSSL 1.0.1 and 1.0.2 build an error queue that is stored per-thread
so we need to clean it when easy handles are freed, in case the thread
will be killed in which the easy handle was used. All OpenSSL code in
libcurl should extract the error in association with the error already
so clearing this queue here should be harmless at worst.

Fixes #964

RELEASE-NOTES: reset and go toward 7.51.0 (again)

THANKS: updated with curl 7.50.3 contributors

RELEASE-NOTES: curl 7.50.3

test1605: verify negative input lengths to (un)escape functions

curl_easy_unescape: deny negative string lengths as input

CVE-2016-7167

Bug: https://curl.haxx.se/docs/adv_20160914.html

curl_easy_escape: deny negative string lengths as input

CVE-2016-7167

Bug: https://curl.haxx.se/docs/adv_20160914.html

curl: make --create-dirs on windows grok both forward and backward slashes

Reported-by: Ryan Scott
Fixes #1007

RELEASE-NOTES: synced with 665694979b6

mbedtls: switch off NTLM in build if md4 isn't available

NTLM support with mbedTLS was added in 497e7c9 but requires that mbedTLS
is built with the MD4 functions available, which it isn't in default
builds. This now adapts if the funtion isn't there and builds libcurl
without NTLM support if so.

Fixes #1004

CODE_STYLE: fix long-line guideline

- Change maximum allowed line length from 80 to 79.

CODE_STYLE: add column alignment section

Note that since the added examples are for column alignment I had to
encapsulate with ~~~c markdown to preserve their alignment.

cmake: fix curl-config --static-libs

The `curl-config --static-libs` command should not output paths like
-l/usr/lib/libssl.so, instead print the absolute path without `-l`.

This also removes the confusing message "Static linking is broken" which
was printed because curl-config --static-libs was disfunctional even
though the static libcurl.a library works properly.

Fixes https://github.com/curl/curl/issues/841

http: refuse to pass on response body with NO_NODY was set

... like when a HTTP/0.9 response comes back without any headers at all
and just a body this now prevents that body from being sent to the
callback etc.

Adapted test 1144 to verify.

Fixes #973

Assisted-by: Ray Satiro

RELEASE-NOTES: synced with 257bf3ac67eb6

CMake: Don't build unit tests if private symbols are hidden

This only excludes building unit tests from default build ( 'all' Make
target or "Build Solution" in VisualStudio). The projects and Make
targets will still be generated and shown in supporting IDEs.

Fixes https://github.com/curl/curl/issues/981
Reported-by: Randy Armstrong
Closes https://github.com/curl/curl/pull/990

CMake: Try to (un-)hide private library symbols

Detect support for compiler symbol visibility flags and apply those
according to CURL_HIDDEN_SYMBOLS option.
It should work true to the autotools build except it tries to unhide
symbols on Windows when requested and prints warning if it fails.

Ref: https://github.com/curl/curl/issues/981#issuecomment-242665951
Reported-by: Daniel Stenberg

openssl: fix bad memory free (regression)

... by partially reverting f975f06033b1. The allocation could be made by
OpenSSL so the free must be made with OPENSSL_free() to avoid problems.

Reported-by: Harold Stuart
Fixes #1005

http2: support > 64bit sized uploads

... by making sure we don't count down the "upload left" counter when the
uploaded size is unknown and then it can be allowed to continue forever.

Fixes #996

errors: new alias CURLE_WEIRD_SERVER_REPLY (8)

Since we're using CURLE_FTP_WEIRD_SERVER_REPLY in imap, pop3 and smtp as
more of a generic "failed to parse" introduce an alias without FTP in
the name.

Closes https://github.com/curl/curl/pull/975

bump: toward 7.51.0

HISTORY: remove ascii logo to render nicer on web

curl: whitelist use of strtok() in non-threaded context

checksrc: detect strtok() use

... as that function slipped through once before.

mk-ca-bundle.pl: use SHA256 instead of SHA1

This hash is used to verify the original downloaded certificate bundle
and also included in the generated bundle's comment header. Also
rename related internal symbols to algorithm-agnostic names.

RELEASE-NOTES: curl 7.50.2 release

THANKS: updated for 7.50.2

openssl: fix CURLINFO_SSL_VERIFYRESULT

CURLINFO_SSL_VERIFYRESULT does not get the certificate verification
result when SSL_connect fails because of a certificate verification
error.

This fix saves the result of SSL_get_verify_result so that it is
returned by CURLINFO_SSL_VERIFYRESULT.

Closes https://github.com/curl/curl/pull/995

darwinssl: test for errSecSuccess in PKCS12 import rather than noErr (#993)

While noErr and errSecSuccess are defined as the same value, the API
documentation states that SecPKCS12Import() returns errSecSuccess if
there were no errors in importing. Ensure that a future change of the
defined value doesn't break (however unlikely) and be consistent with
the API docs.

docs: Fix link to CONTRIBUTE in Github contribution guidelines (#994)

openssl: Fix compilation with OPENSSL_API_COMPAT=0x10100000L

With OPENSSL_API_COMPAT=0x10100000L (OpenSSL 1.1 API), the cleanup
functions are unavailable (they're no-ops anyway in OpenSSL 1.1). The
replacements for SSL_load_error_strings, SSLeay_add_ssl_algorithms, and
OpenSSL_add_all_algorithms are called automatically [1][2]. SSLeay() is
now called OpenSSL_version_num().

[1]: https://www.openssl.org/docs/man1.1.0/ssl/OPENSSL_init_ssl.html
[2]: https://www.openssl.org/docs/man1.1.0/crypto/OPENSSL_init_crypto.html

Closes #992

RELEASE-NOTES: synced with 3d4c0c8b9bc1d

http2: return EOF when done uploading without known size

Fixes #982

http2: skip the content-length parsing, detect unknown size

http2: minor white space edit

http2: use named define instead of magic constant in read callback

configure: make the cpp -P detection not clobber CPPFLAGS

CPPPFLAGS is now CPPPFLAG. Fixes CURL_CHECK_DEF.

Fixes #958

speed caps: not based on average speeds anymore

Speed limits (from CURLOPT_MAX_RECV_SPEED_LARGE &
CURLOPT_MAX_SEND_SPEED_LARGE) were applied simply by comparing limits
with the cumulative average speed of the entire transfer; While this
might work at times with good/constant connections, in other cases it
can result to the limits simply being "ignored" for more than "short
bursts" (as told in man page).

Consider a download that goes on much slower than the limit for some
time (because bandwidth is used elsewhere, server is slow, whatever the
reason), then once things get better, curl would simply ignore the limit
up until the average speed (since the beginning of the transfer) reached
the limit.  This could prove the limit useless to effectively avoid
using the entire bandwidth (at least for quite some time).

So instead, we now use a "moving starting point" as reference, and every
time at least as much as the limit as been transferred, we can reset
this starting point to the current position. This gets a good limiting
effect that applies to the "current speed" with instant reactivity (in
case of sudden speed burst).

Closes #971

HISTORY.md: the multi socket was put in the wrong year!

tool_helpers.c: fix comment typo (#989)

libtest/test.h: fix typo (#988)

CURLMOPT_PIPELINING.3: language

CURLMOPT_PIPELINING.3: extended and clarified

Especially in regards to the multiplexing part.

curl_sspi.c: Updated function description comments

* Added description to Curl_sspi_free_identity()
* Added parameter and return explanations to Curl_sspi_global_init()
* Added parameter explaination to Curl_sspi_global_cleanup()

README: Corrected the supported Visual Studio versions

Missed from commit 8356022d17.

KNOWN_BUGS: Move the Visual Studio project shortcomings from local README

KNOWN_BUGS: Expand 6.4 to include Kerberos V5

...and discuss a possible solution.

connect: fix #ifdefs for debug versions of conn/streamclose() macros

CURLDEBUG is for the memory debugging

DEBUGBUILD is for the extra debug stuff

Pointed-out-by: Steve Holme

KNOWN_BUGS: mention some cmake "support gaps"

darwinssl: add documentation stating that the --cainfo option is intended for backward compatibility only

In other news, I changed one other reference to "Mac OS X" in the documentation (that I previously wrote) to say "macOS" instead.

http2: return CURLE_HTTP2_STREAM for unexpected stream close

Follow-up to c3e906e9cd0f, seems like a more appropriate error code

Suggested-by: Jay Satiro

http2: handle closed streams when uploading

Fixes #986

http2: make sure stream errors don't needlessly close the connection

With HTTP/2 each transfer is made in an indivial logical stream over the
connection, making most previous errors that caused the connection to get
forced-closed now instead just kill the stream and not the connection.

Fixes #941

Curl_verify_windows_version: minor edit to avoid compiler warnings

... instead of if() before the switch(), add a default to the switch so
that the compilers don't warn on "warning: enumeration value
'PLATFORM_DONT_CARE' not handled in switch" anymore.

RELEASE-NOTES: Added missing fix from commit 15592143f

schannel: Disable ALPN for Wine since it is causing problems

- Disable ALPN on Wine.

- Don't pass input secbuffer when ALPN is disabled.

When ALPN support was added a change was made to pass an input secbuffer
to initialize the context. When ALPN is enabled the buffer contains the
ALPN information, and when it's disabled the buffer is empty. In either
case this input buffer caused problems with Wine and connections would
not complete.

Bug: https://github.com/curl/curl/issues/983
Reported-by: Christian Fillion

nss: work around race condition in PK11_FindSlotByName()

Serialise the call to PK11_FindSlotByName() to avoid spurious errors in
a multi-threaded environment. The underlying cause is a race condition
in nssSlot_IsTokenPresent().

Bug: https://bugzilla.mozilla.org/1297397

Closes #985

nss: refuse previously loaded certificate from file

... when we are not asked to use a certificate from file

ftp_done: remove dead code

TLS: random file/egd doesn't have to match for conn reuse

test161: add comment for the exit code

test219: Add http as a required feature

HTTP: stop parsing headers when switching to unknown protocols

- unknown protocols probably won't send more headers (e.g. WebSocket)
- improved comments and moved them to the correct case statements

Closes #899

openssl: make build with 1.1.0 again

synced with OpenSSL git master commit cc06906707

INTERNALS: fix title

configure: detect zlib with our pkg-config macros

... instead of relying on the pkg-config autoconf macros to be present.

Fixes #972 (again...)

http2: Remove incorrect comments

.. also remove same from scp

ftp: fix wrong poll on the secondary socket

When we're uploading using FTP and the server issues a tiny pause
between opening the connection to the client's secondary socket, the
client's initial poll() times out, which leads to second poll() which
does not wait for POLLIN on the secondary socket. So that poll() also
has to time out, creating a long (200ms) pause.

This patch adds the correct flag to the secondary socket, making the
second poll() correctly wait for the connection there too.

Signed-off-by: Ales Novak <alnovak@suse.cz>
Closes #978

RELEASE-NOTES: synced with 95ded2c56

configure: make it work without PKG_CHECK_MODULES

With commit c2f9b78 we added a new dependency on pkg-config for
developers which may be unwanted. This change make the configure script
still work as before if pkg-config isn't installed, it'll just use the
old zlib detection logic without pkg-config.

Reported-by: Marc Hörsken
Fixes #972

Revert "KNOWN_BUGS: SOCKS proxy not working via IPv6"

This reverts commit 9cb1059f92286a6eb5d28c477fdd3f26aed1d554.

As discussed in #835 SOCKS5 supports IPv6 proxies and destinations.

win: Basic support for Universal Windows Platform apps

Closes #820

sasl: Don't use GSSAPI authentication when domain name not specified

Only choose the GSSAPI authentication mechanism when the user name
contains a Windows domain name or the user is a valid UPN.

Fixes #718

vauth: Added check for supported SSPI based authentication mechanisms

Completing commit 00417fd66c and 2708d4259b.

http.c: Remove duplicate (authp->avail & CURLAUTH_DIGEST) check

From commit 2708d4259b.

socks.c: display the hostname returned by the SOCKS5 proxy server

Instead of displaying the requested hostname the one returned
by the SOCKS5 proxy server is used in case of connection error.
The requested hostname is displayed earlier in the connection sequence.

The upper-value of the port is moved to a temporary variable and
replaced with a 0-byte to make sure the hostname is 0-terminated.

urldata.h: Corrected comment for httpcode which is also populated by SMTP

As of 7.25.0 and commit 5430007222.

socks.c: use Curl_printable_address in SOCKS5 connection sequence

Replace custom string formatting with Curl_printable_address.
Add additional debug and error output in case of failures.

socks.c: align SOCKS4 connection sequence with SOCKS5

Calling sscanf is not required since the raw IPv4 address is
available and the protocol can be detected using ai_family.

http.c: Corrected indentation change from commit 2708d4259b

Made by Visual Studio's auto-correct feature and missed by me in my own
code reviews!

http: Added calls to Curl_auth_is_<mechansism>_supported()

Hooked up the HTTP authentication layer to query the new 'is mechanism
supported' functions when deciding what mechanism to use.

As per commit 00417fd66c existing functionality is maintained for now.

socks.c: improve verbose output of SOCKS5 connection sequence

configure.ac: add missing quotes to PKG_CHECK_MODULES

sasl: Added calls to Curl_auth_is_<mechansism>_supported()

Hooked up the SASL authentication layer to query the new 'is mechanism
supported' functions when deciding what mechanism to use.

For now existing functionality is maintained.

spnego_sspi: fix memory leak in case *outlen is zero (#970)

CURLMOPT_MAX_TOTAL_CONNECTIONS.3: mention it can also multiplex

vauth: Introduced Curl_auth_is_<mechansism>_supported() functions

As Windows SSPI authentication calls fail when a particular mechanism
isn't available, introduced these functions for DIGEST, NTLM, Kerberos 5
and Negotiate to allow both HTTP and SASL authentication the opportunity
to query support for a supported mechanism before selecting it.

For now each function returns TRUE to maintain compatability with the
existing code when called.

test1144: verify HEAD with body-only response

RELEASE-PROCEDURE: Added some more future release dates

...and removed some old ones

curl: allow "pkcs11:" prefix for client certificates

RFC7512 provides a standard method to reference certificates in PKCS#11
tokens, by means of a URI starting 'pkcs11:'.

We're working on fixing various applications so that whenever they would
have been able to use certificates from a file, users can simply insert
a PKCS#11 URI instead and expect it to work. This expectation is now a
part of the Fedora packaging guidelines, for example.

This doesn't work with cURL because of the way that the colon is used
to separate the certificate argument from the passphrase. So instead of

   curl -E 'pkcs11:manufacturer=piv_II;id=%01' …

I instead need to invoke cURL with the colon escaped, like this:

   curl -E 'pkcs11\:manufacturer=piv_II;id=%01' …

This is suboptimal because we want *consistency* — the URI should be
usable in place of a filename anywhere, without having strange
differences for different applications.

This patch therefore disables the processing in parse_cert_parameter()
when the string starts with 'pkcs11:'. It means you can't pass a
passphrase with an unescaped PKCS#11 URI, but there's no need to do so
because RFC7512 allows a PIN to be given as a 'pin-value' attribute in
the URI itself.

Also, if users are already using RFC7512 URIs with the colon escaped as
in the above example — even providing a passphrase for cURL to handling
instead of using a pin-value attribute, that will continue to work
because their string will start 'pkcs11\:' and won't match the check.

What *does* break with this patch is the extremely unlikely case that a
user has a file which is in the local directory and literally named
just "pkcs11", and they have a passphrase on it. If that ever happened,
the user would need to refer to it as './pkcs11:<passphrase>' instead.

nss: make the global variables static

openssl: use regular malloc instead of OPENSSL_malloc

This allows for better memmory debugging and torture tests.

proxy: fix tests as follow-up to 93b0d907d5

This fixes tests that were added after 113f04e664b as the tests would
fail otherwise.

We bring back "Proxy-Connection: Keep-Alive" now unconditionally to fix
regressions with old and stupid proxies, but we could possibly switch to
using it only for CONNECT or only for NTLM in a future if we want to
gradually reduce it.

Fixes #954

Reported-by: János Fekete