Fix sessions so they work across the site.

Make session cookies more secure.

1. Our session cookies only need to be available to http, so
   mark them appropiately.

2. Send the cookie to the subpath for mediagoblin.

And instantiate a session manager on the app, once.

Remove the last traces of beaker.

There were still some traces of beaker around:
- docs: replaced by reference to itsdangerous.
- paste configs: Wiped away.
- config_spec.ini: wiped.
- test_mgoblin_app.ini: also wiped.

Fix left over from variable renaming.

Merge remote-tracking branch 'brett/itsdangerous'

* brett/itsdangerous:
  Call is_updated instead of testing it boolean.
  Harden It's Dangerous key management.
  First tests for the Session class.
  Set a starting value for session.send_new_cookie.
  Remove beaker stuff from the code.
  Delete the session cookie on an empty session.
  Back sessions with It's Dangerous.
  Improve fs security for itsdangerous secret.
  Docs for get_timed_signer_url.
  Basic itsdangerous infrastructure.

Conflicts:
mediagoblin/tests/test_cache.py

Use cascade for comment deletion.

Also use the relationship for getting the comments on a
MediaEntry.

Testing: Remove some left over files/dirs.

When using tempfile.* in testing, those files get created
in the system tempdir. The docs say, we should try to
remove them.
Yes, the next reboot will clean them up also.

And in the workbench case, check after each test, that the
global workbench dir is empty (so the sub-workbcnhes have
been destroyed).

Implement queue dir delete for proc_state.delete_queue_file

Implement queue dir deleting in the
proc_state.delete_queue_file helper function.

Merge remote-tracking branch 'cwebber/254_delete_queue_directories'

* cwebber/254_delete_queue_directories:
  Removing docstring bit about delete_file possibly deleting directories in the future
  Convert media processing backends to delete the queue directory (#254)
  Implement delete_dir in the FileStorage

Conflicts:
mediagoblin/media_types/image/processing.py
mediagoblin/media_types/video/processing.py

Conflicts, because those media_types already use the newer
proc_state.delete_queue_file() method (which needs
updating.

Teach runtests.sh the -n arg.

If you give "-n 8" to runtests, it thinks, it got
"-n" -- a nice option, ignored.
"8"  -- Oh! a single test named "8" to run, so no need to
        run all the GMG tests.

Well, that's not what we want. So runtests now knows about
-n taking an arg.

Really removing nosetests things now!  all assert_whatever removed

Better docs for GenerateSlugMixin.

Use GenerateSlugMixin for collections.

Use the new way of generating slugs also for collections.
Also drop the dummy_db arg to check_collection_slug_used.

Refactor generate_slug into a mixin.

Refactor the new generate_slug into a mixin to
allow it to be used for collections also.

Merge branch '614_multi_test_config'

Switch test_app generation over to use py.test fixtures.

By doing this, we can take advantage of py.test's ability to create
temporary directories that are then cleaned up later during testing.
This helps for sandboxing things.

This also involves a ton of changes:
 - Changing the get_app stuff appropriately, getting rid of the
   setup_fresh_app decorator
 - Making said fixture
 - Switching over a billion tests to use it

Oops, forgot to assign dump_old_app to self, heh.

Turning setup_fresh_app into SetupFreshApp, a decorator with options!

This way people can pass in particular paste/mediagoblin configs that they want to use.

Updating get_app to allow for passing in particular app configs

Also require pytest-xdist!

Use py.test --boxed for unit tests from now on!

These tests need to have a MediaGoblin app setup so they can connect to the db!

Thanks to py.test --boxed for helping discover that ;)

All mediagoblin tests now pass with py.test (switched setUp to setup)

Create ProcessingState.store_public.

The ideas is by Alon Levy.

Use it in ProcessingState.copy_original for now.

Little refactoring for images: media_files.

Set the media_files directly at the relvant places.

A bit of pep8: Remove useless whitespace.

Merge remote-tracking branch 'JDShu/649_use_form_data_field'

* JDShu/649_use_form_data_field:
  Use WTForms data field in user_pages/views.py
  Use WTForms data field in auth/views.py
  auth: whitespace cleanup in views.py
  Use WTForms data field in plugins/oauth/views.py
  Use WTForms data field in submit/views.py
  Use WTForms data field in edit/views.py

Merge branch 'master' of gitorious.org:mediagoblin/mediagoblin

Warning that raven plugin is somewhat experimental!

Refactor file field checking.

When uploading, the file field needs some checks, it seems.
So refactor them into check_file_field and use around.

Use WTForms data field in user_pages/views.py

Missed case in a previous commit.

Use WTForms data field in auth/views.py

auth: whitespace cleanup in views.py

Use WTForms data field in plugins/oauth/views.py

Use WTForms data field in submit/views.py

Use WTForms data field in edit/views.py

piwigo: Fix pwg_getversion

This one needs to return just "2.5.0 (Mediagoblin)" instead
of "Piwigo 2...".

piwigo: Start at pwg.images.addSimple.

Without a session and a logged in user, this can't go much
further.

Misses check for the file upload field.
Need refactored test tool for this.

Call is_updated instead of testing it boolean.

Merge remote-tracking branch 'aeva/671_fix_stl'

Ascii stl files now should have their whitespace stripped when parsing.

Fixed a bug that had binary stls be handled by the ascii stl parser.

Harden It's Dangerous key management.

The previous code was theoretically subject to timing attacks, where
an attacker could read the key in between the time it was saved to the
file and when the chmod happened.  This version prevents that by using
umasks to ensure the files always have the right permissions.

This version also avoids using a key that cannot be saved due to some
system setup bug.

First tests for the Session class.

Set a starting value for session.send_new_cookie.

This makes session.__init__ slightly more complicated but probably
simplifies everything else, especially if we make the class smarter
later by having it track changes itself.

Remove beaker stuff from the code.

This is all obsoleted by It's Dangerous.

Delete the session cookie on an empty session.

Back sessions with It's Dangerous.

This is a contribution to #668.

Merge remote-tracking branch 'jdshu/649_use_form_data_field'

Webtest2 breaks response.cookies stuff for some reason.

I don't understand why but other people do!

This is a terrible commit message and I am sorry for it.

Use WTForms data field in user_pages/views.py

Updated VideoThumbnailerMarkII, removed old

Removed the old VideoThumbnailer since it's not used anymore.

VideoThumbnailerMarkII:
Changed the state switching in on_thumbnail_message to only set the
state to "processing thumbnail" if the seek was succesful.

I'm not sure what I'm doing here, but I know at least some of it is
good, and as a whole, it seems to work, so far :)

Adding documentation on what the $need_arg code in runtests.sh does

Move description of software stack below description of "What's where"

Improve fs security for itsdangerous secret.

Set mode 700 on the directory, mode 600 on the file.

Docs for get_timed_signer_url.

Basic itsdangerous infrastructure.

Implement the basic infrastructure for using itsdangerous
in mediagoblin. Usage instructions will follow.

piwigo start at pwg.images.addChunk.

This function receives part of an upload. Does most
parameter validation, but does not safe the data anywhere
for now.

Also fake pwg.images.exist

piwigo: Add session.getStatus, improve categories.getList

- pwg.session.getStatus returns the current user as
  "fake_user".  When we have a session, we'll return
  something better.

- pwg.categories.getList add a name and the parent id for
  its one and only "collection".

- Improve logging a bit.

piwigo: Sent a fake cookie.

shotwell needs a pwg_id cookie to continue.
And really, it's the only cookie it supports, so in the
long run, we need to send a proper session cookie as
pwg_id.

Add warning README.rst and fix pep8.

piwigo: Move tool functions into tools.py

Start at pwg.categories.getList and improve xml output.

- The xml formatting is now in the main function.
- Add PwgNamedArray to have named lists in xml output.
- Remove gmg.test method

piwigo: start xml response encoding, more (fake) methods.

Starting a piwigo api plugin.

This one just puts up the basic endpoint, some
infrastructure and a fake login method.

Lots more needed.

Improve release notes formatting.

The geolocation ini sample needed more indenting and
got a nice "code-block:: ini".

Point to the Hacking HOWTO

Better description of the structure of the application

Clarification on some original design decisions things.

A more realistic "con" explaination in the docstring of exif_fix_image_orientation

Thanks to dnet for catching this.

This commit sponsored by Chester Zeller.  Thanks!

Remove .pyc files from tarball when running maketarball.sh

Changing "evil" submission test-script to be a bash script.

Start a storage section.

With the workbench stuff in it.

Only create api docs for mediagoblin/

Now in 0.4.0 dev mode!

"will now" -> "will not" tyop caught by AVRS... fixed, thanks!

New version: 0.3.3 !

Committing extracted and compiled translations

Committing present MediaGoblin translations before pushing extracted messages

Fixing dates when uploaded in a video to a mediagoblin instance.

There were some "serializing to json strings" issues.  They should be
fixed now... much more careful whitelist and cleaning of the video
"tags" metadata out of gstreamer.

This commit sponsored by Aimee Sullivan.  Thanks!

You can also DELETE accounts now

Minor release note changes, as suggested by Elrond.

This commit sponsored by Martin Ansdell-Smith.  Thanks!

0.3.3 release notes

Updating AUTHORS with many more people who deserve to be attributed!

Added thingiview.js symlink, fixes webgl view

655: Fix collection fetching for media_collect()

The problem is:

    Collection.query.filter_by(id=X, ...)

1. X = form.collection.data
   This works nicely for the completely empty form (X = None).
   It does not work for a selected collection, because X
   will be the collection, not its id.

2. X = request.form.get('collection') (old code).
   This one works mostly, except for the completely empty
   form on postgres, because in this case X = u"__None" and
   postgres does not like comparing an integer column with
   a string.

Fix:
    collection = form.collection.data
    if collection and collection.creator != request.user.id:
        collection = None

tyop fix in docs, lazyserer.sh->lazyserver.sh

This commit sponsored by S J Bennett.  Thanks!

Change the _original_ design decisions.

- Rename the chapter to "Original *".
- Fix links.

Revive old "Design Decisions".

This brings back the exact version that was removed in
65e7ce634cfecc87ed6f390f9ccf91be513d2eea.

Providing warning to users about instability of OAuth/API

Making a fix so that video codec name switched from "vp8 video" to "vp8"

"vp8 video" is what vp8 is marked as in gstreamer's metadata.
However, the browser expects it just as the name "vp8".  So fixing
that.

This commit sponsored by Tyng-Ruey Chuang.  Thank you!

Committing extracted and compiled translations

Merge branch 'master' into 419_cherrypick_large_uploads

Removing an unnecessary video write

In the case of if we're skipping transcoding, we don't need to copy
this file at all!

This commit sponsored by Frank Zambrini III.  Thanks!

Merge branch 'joar-skip_transcoding'

Elrond points out that we should use form.collection.data

That's true; I'm not sure what it's fixing, but he thinks it's fixing
something.  Anyway, it's correct :)

This commit sponsored by Philippe Gauthier.  Thanks!

Give a more useful error if a table already exists and so we can't create it during migrations

This commit sponsored by Andrzej Prochyra.  Thanks!

Three fixes to collection adding view, one of them a serious security bug

 - Don't let people who aren't the authors of a collection from adding
   things to it (handled by forcing the user check in the query)
 - request url in case invalid collection selected fixed
 - collection_item.author doesn't yet exist; removing the selection
   (we might want multiple people to be able to edit a collection in
   the future but that future does not yet exist; as Elrond said,
   remove this "false hope")

Thanks to Elrond to pointing out these issues.

And thanks to David Kindler for sponsoring this commit!

self.media_data->self.media_manager in the docstring.  Thanks for catching, Elrond.

This commit sponsored by Sebastian Hugentobler.  Thank you!

No reason really to pass in fetch_order anyway...

I think this is legacy code from get_display_media being a utility, or
something.  Removed!  (Thanks for pointing this out, Elrond!)

This commit sponsored by Tristan Chambers.  Thank you!