README.http2: refreshed and added TODO items

globbing: fix step parsing for character globbing ranges

The glob_range function used wrong offset (3 instead of 4) for parsing
integer step inside character range specification, which led to 'bad
range' error when using character ranges with explicitly specified step
(such as '[a-z:2]')

polarssl: called mbedTLS in 1.3.10 and later

polarssl: remove dead code

and simplify code by changing if-elses to a switch()

CID 1291706: Logically dead code. Execution cannot reach this statement

polarssl: remove superfluous for(;;) loop

"unreachable: Since the loop increment is unreachable, the loop body
will never execute more than once."

Coverity CID 1291707

Curl_ssl_md5sum: return CURLcode

... since the funciton can fail on OOM. Check this return code.

Coverity CID 1291705.

cyassl: default to highest possible TLS version

(cyassl_connect_step1)
- Use TLS 1.0-1.2 by default when available.

CyaSSL/wolfSSL >= v3.3.0 supports setting a minimum protocol downgrade
version.

cyassl/cyassl@322f79f

cyassl: Check for invalid length parameter in Curl_cyassl_random

cyassl: If wolfSSL then identify as such in version string

symbols-in-versions: added CURLOPT_PATH_AS_IS

testcurl.pl: add the --notes option to supply more info about a build

Support for notes has been in place for a while, but it required
being added to the setup file manually.

curl_memory: make curl_memory.h the second-last header file loaded

This header file must be included after all header files except
memdebug.h, as it does similar memory function redefinitions and can be
similarly affected by conflicting definitions in system or dependent
library headers.

openssl: do the OCSP work-around for libressl too

I tested with libressl git master now (v2.1.4-27-g34bf96c) and it seems to
still require the work-around for stapling to work.

openssl: verifystatus: only use the OCSP work-around <= 1.0.2a

URL: http://curl.haxx.se/mail/lib-2015-03/0205.html
Reported-by: Alessandro Ghedini

openssl: adapt to ASN1/X509 things gone opaque in 1.1

curl_easy_setopt.3: Fix misspelling in CURLOPT_PATH_AS_IS description

CURLOPT_HTTPHEADER.3: fix typo in recent commit

CURLOPT_PATH_AS_IS.3: add type 'long' to prototype

vtls: fix compile with --disable-crypto-auth but with SSL

This is a strange combination of options, but is allowed.

os400: define new options in ILE/RPG binding.

RELEASE-NOTES: synced with f6878609361

curl_easy_setopt.3: Add CURLOPT_PATH_AS_IS

CURLOPT_PATH_AS_IS: added

--path-as-is is the command line option

Added docs in curl.1 and CURLOPT_PATH_AS_IS.3

Added test in test 1241

curl_easy_recv/send: make them work with the multi interface

By making sure Curl_getconnectinfo() uses the correct connection cache
to find the last connection.

http2: move the init too for when its actually needed

... it would otherwise lead to memory leakage if we never actually do
the switch.

dict: rename byte to avoid compiler shadowed declaration warning

This conflicted with a WolfSSL typedef.

cyassl: include version.h to ensure the version macros are defined

test1513: eliminated race condition in test run

It seems that some systems (e.g. fairly consistently in some recent
Solaris autobuilds) would manage to get to the connect phase before the
progress callback was called, resulting in a CURLE_COULDNT_CONNECT
error. Reworked the test to point at a test server that never returns a
full result so the progress callback always gets a chance to be called
before the transfer can complete in some other way.

darwinsssl: add support for TLS False Start

TLS False Start support requires iOS 7.0 or later, or OS X 10.9 or later.

gtls: add check of return code

Coverity CID 1291167 pointed out that 'rc' was received but never used when
gnutls_credentials_set() was used. Added return code check now.

gtls: dereferencing NULL pointer

Coverity CID 1291165 pointed out 'chainp' could be dereferenced when
NULL if gnutls_certificate_get_peers() had previously failed.

gtls: avoid uninitialized variable.

Coverity CID 1291166 pointed out that we could read this variable
uninitialized.

tests/certs: rebuild certificates with modified key usage bits

The certificates were missing the digitalSignature and keyAgreement
usage types, of which at least digitalSignature was checked by CyaSSL.
This caused the test server in test 310 (among others) to fail the
startup verification and therefore run (see
http://curl.haxx.se/mail/lib-2014-07/0303.html).

tests/certs: added make target to rebuild certificates

The certificate generation scripts were also updated to better match the
format of the certificates currently checked in.

x509asn1: add /* fallthrough */ in switch() case

x509asn1: minor edit to unconfuse Coverity

CID 1202732 warns on the previous use, although I cannot fine any
problems with it. I'm doing this change only to make the code use a more
familiar approach to accomplish the same thing.

testcurl: Allow '=' in values given on command line

nss: error: unused variable 'connssl'

test938: added missing closing tags

cyassl: use new library version macro when available

curl: add --false-start option

nss: add support for TLS False Start

url: add CURLOPT_SSL_FALSESTART option

This option can be used to enable/disable TLS False Start defined in the RFC
draft-bmoeller-tls-falsestart.

gtls: implement CURLOPT_CERTINFO

openssl: try to avoid accessing OCSP structs when possible

CURLOPT_URL.3: spelling!

Reported-by: Frank Gevaerts

CURLOPT_URL.3: Added "SECURITY CONCERNS"

CURLOPT_HTTPHEADER.3: add a "SECURITY CONCERNS" section

cyassl: detect the library as renamed wolfssl

This change was made in CyaSSL/WolfSSL ver. 3.4.0

HTTP: don't switch to HTTP/2 from 1.1 until we get the 101

We prematurely changed protocol handler to HTTP/2 which made things very
slow (and wrong).

Reported-by: Stefan Eissing
Bug: https://github.com/bagder/curl/issues/169

axtls: version 1.5.2 now requires that config.h be manually included

metalink: fix resource leak in OOM

Coverity CID 1288826

docs/libcurl: clean up libcurl-symbols.3

docs/libcurl: check that all options with man pages are referenced

If a man page exists in the opts/ directory, it must also be referenced
either in curl_easy_setopt.3 or curl_multi_setopt.3

curl_easy_setopt.3: added a few missing options

nss: explicitly tell NSS to disable NPN/ALPN

... if disabled at libcurl level.  Otherwise, we would allow to
negotiate NPN despite curl was invoked with the --no-npn option.

mkhelp: Remove trailing carriage return from every line of input

- Get rid of this flood of warnings in Windows mingw build:
warning: missing terminating " character

The warning is due to the carriage return. When msysgit checks out files
from the repo by default it converts the line endings to CRLF. Prior to
this change when mkhelp.pl processed the MANUAL and curl.1 in CRLF
format the trailing carriage returns caused unnecessary CR in the
output.

RELEASE-NOTES: synced with e539f01567

docs/libcurl: make portability fix

Using $< in a non-suffix rule context is a GNU make idiom.  This bug was
introduced in 7.41.0.

checksrc: Fix whitelist on out-of-tree builds

Curl_sh_entry: remove unused 'timestamp'

HTTP: don't use Expect: headers when on HTTP/2

Reported-by: Stefan Eissing
Bug: https://github.com/bagder/curl/issues/169

checksrc: detect and remove space before trailing semicolons

checksrc: introduce a whitelisting concept

checksrc: use space after comma

checksrc: use space before paren in "return (expr);"

CONTRIBUTE: refer to git log instead of deprecated CHANGES file

CURLOPT_*.3: more examples and edits

CURLOPT_*.3: added lots of small example sections

CURLOPT_PRIVATE.3: provide an example

CURLOPT_*TIMEOUT.3: provide examples

CURLOPT_USERAGENT.3: added an example

CURLOPT_STDERR.3: added an example

curl_easy_perform.3: remove superfluous close brace from example

free: instead of Curl_safefree()

Since we just started make use of free(NULL) in order to simplify code,
this change takes it a step further and:

- converts lots of Curl_safefree() calls to good old free()
- makes Curl_safefree() not check the pointer before free()

The (new) rule of thumb is: if you really want a function call that
frees a pointer and then assigns it to NULL, then use Curl_safefree().
But we will prefer just using free() from now on.

Bug #149: Deletion of unnecessary checks before a few calls of cURL functions

The following functions return immediately if a null pointer was passed.
* Curl_cookie_cleanup
* curl_formfree

It is therefore not needed that a function caller repeats a corresponding check.

This issue was fixed by using the software Coccinelle 1.0.0-rc24.

Signed-off-by: Markus Elfring <elfring@users.sourceforge.net>

Bug #149: Deletion of unnecessary checks before calls of the function "free"

The function "free" is documented in the way that no action shall occur for
a passed null pointer. It is therefore not needed that a function caller
repeats a corresponding check.
http://stackoverflow.com/questions/18775608/free-a-null-pointer-anyway-or-check-first

This issue was fixed by using the software Coccinelle 1.0.0-rc24.

Signed-off-by: Markus Elfring <elfring@users.sourceforge.net>

connect: Fix happy eyeballs logic for IPv4-only builds

Bug: https://github.com/bagder/curl/pull/168

(trynextip)
- Don't try the "other" protocol family unless IPv6 is available. In an
IPv4-only build the other family can only be IPv6 which is unavailable.

This change essentially stops IPv4-only builds from attempting the
"happy eyeballs" secondary parallel connection that is supposed to be
used by the "other" address family.

Prior to this change in IPv4-only builds that secondary parallel
connection attempt could be erroneously used by the same family (IPv4)
which caused a bug where every address after the first for a host could
be tried twice, often in parallel. This change fixes that bug. An
example of the bug is shown below.

Assume MTEST resolves to 3 addresses 127.0.0.2, 127.0.0.3 and 127.0.0.4:

* STATE: INIT => CONNECT handle 0x64f4b0; line 1046 (connection #-5000)
* Rebuilt URL to: http://MTEST/
* Added connection 0. The cache now contains 1 members
* STATE: CONNECT => WAITRESOLVE handle 0x64f4b0; line 1083
(connection #0)
*   Trying 127.0.0.2...
* STATE: WAITRESOLVE => WAITCONNECT handle 0x64f4b0; line 1163
(connection #0)
*   Trying 127.0.0.3...
* connect to 127.0.0.2 port 80 failed: Connection refused
*   Trying 127.0.0.3...
* connect to 127.0.0.3 port 80 failed: Connection refused
*   Trying 127.0.0.4...
* connect to 127.0.0.3 port 80 failed: Connection refused
*   Trying 127.0.0.4...
* connect to 127.0.0.4 port 80 failed: Connection refused
* connect to 127.0.0.4 port 80 failed: Connection refused
* Failed to connect to MTEST port 80: Connection refused
* Closing connection 0
* The cache now contains 0 members
* Expire cleared
curl: (7) Failed to connect to MTEST port 80: Connection refused

The bug was born in commit bagder/curl@2d435c7.

mksymbolsmanpage.pl: use std header and generate better nroff header

closesocket: call multi socket cb on close even with custom close

In function Curl_closesocket() in connect.c the call to
Curl_multi_closed() was wrongly omitted if a socket close function
(CURLOPT_CLOSESOCKETFUNCTION) is registered.

That would lead to not removing the socket from the internal hash table
and not calling the multi socket callback appropriately.

Bug: http://curl.haxx.se/bug/view.cgi?id=1493

hostip: Fix signal race in Curl_resolv_timeout.

A signal handler for SIGALRM is installed in Curl_resolv_timeout. It is
configured to interrupt system calls and uses siglongjmp to return into
the function if alarm() goes off.

The signal handler is installed before curl_jmpenv is initialized.
This means that an already installed alarm timer could trigger the
newly installed signal handler, leading to undefined behavior when it
accesses the uninitialized curl_jmpenv.

Even if there is no previously installed alarm available, the code in
Curl_resolv_timeout itself installs an alarm before the environment is
fully set up. If the process is sent into suspend right after that, the
signal handler could be called too early as in previous scenario.

To fix this, the signal handler should only be installed and the alarm
timer only be set after sigsetjmp has been called.

http2: detect prematures close without data transfered

... by using the regular Curl_http_done() method which checks for
that. This makes test 1801 fail consistently with error 56 (which seems
fine) to that test is also updated here.

Reported-by: Ben Darnell
Bug: https://github.com/bagder/curl/issues/166

test320: Expect the Host header to be the first header

Required for the test to work after a5d994941c2b.

RELEASE-NOTES: synced with 186e46d88dd

openssl: use colons properly in the ciphers list

While the previous string worked, this is the documented format.

Reported-by: Richard Moore

openssl: sort the ciphers on strength

This makes curl pick better (stronger) ciphers by default. The strongest
available ciphers are fine according to the HTTP/2 spec so an OpenSSL
built curl is no longer rejected by string HTTP/2 servers.

Bug: http://curl.haxx.se/bug/view.cgi?id=1487

test203[0-3]: Expect the Host header to be the first header

Required for the tests to work after a5d994941c2b.

openssl: show the cipher selection to use

http: always send Host: header as first header

...after the method line:

 "Since the Host field-value is critical information for handling a
 request, a user agent SHOULD generate Host as the first header field
 following the request-line." / RFC 7230 section 5.4

Additionally, this will also make libcurl ignore multiple specified
custom Host: headers and only use the first one. Test 1121 has been
updated accordingly

Bug: http://curl.haxx.se/bug/view.cgi?id=1491
Reported-by: Rainer Canavan

mk-ca-bundle bugfix: Don't report SHA1 numbers with "-q".

Also unified printing to STDERR by creating the helper method "report".

proxy: re-use proxy connections (regression)

When checking for a connection to re-use, a proxy-using request must
check for and use a proxy connection and not one based on the host
name!

Added test 1421 to verify

Bug: http://curl.haxx.se/bug/view.cgi?id=1492

memanalyze.pl: handle free(NULL)

.travis.yml: Change CI make test to make test-full

- Change the continuous integration script to use 'make test-full'
instead of just 'make test' so that the diagnostic log output is
printed to stdout when a test fails.

- Change the continuous integration script to use
'./configure --enable-debug' instead of just './configure' so that the
memory analyzer will work during testing.

Prior to this change Travis used its default C test script:
./configure && make && make test

gtls: correctly align certificate status verification messages

gtls: don't print double newline after certificate dates

gtls: print negotiated TLS version and full cipher suite name

Instead of priting cipher and MAC algorithms names separately, print the
whole cipher suite string which also includes the key exchange algorithm,
along with the negotiated TLS version.

gtls: fix compiler warnings

gtls: add support for CURLOPT_CAPATH

MacOSX-Framework: use @rpath instead of @executable_path

Bug: https://github.com/bagder/curl/pull/157

RELEASE-NOTES: synced with c19349951