Allow trace image URL to be configured in the CSP policy

Merge remote-tracking branch 'upstream/pull/3345'

Merge remote-tracking branch 'upstream/pull/3455'

Remove section on removed rake doc:app

Remove the section of contributing docs about how `rake doc:app` can be used to generate some sort of documentation. That will not work any more, since this task was removed from Rails v5 because people don't generally use it! https://stackoverflow.com/a/36804474/338265

Fix contrib doc to remove reference to travis

Remove the reference to Travis CI. Our CI pipeline now runs withing github actions.

Merge remote-tracking branch 'upstream/pull/3454'

Merge remote-tracking branch 'upstream/pull/3453'

Merge remote-tracking branch 'upstream/pull/3452'

Adds advancedcomp to the list of macOS Homebrew dependencies

Fix vagrant storage.yml config

Tell vagrant to copy the example storage.yml config file into place as per INSTALL.md instructions. Allows the migrations to run.

Updates macOS geckodriver installation command

Update to rails 6.1.4.6

Update bundle

Localisation updates from https://translatewiki.net.

Update bundle

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/3419'

Merge remote-tracking branch 'upstream/pull/3446'

Merge remote-tracking branch 'upstream/pull/3445'

Update to iD v2.20.4

Localisation updates from https://translatewiki.net.

Ensure that deactivate isn't available in production

It's only used as a workaround for factories not being able to create
pending users while keeping active as the default

Add extra user transitions needed by the administrators

Added some key-value pairs under `railway=`

Update bundle

Index note comments by author and date

Fixes #3443

Merge remote-tracking branch 'upstream/pull/3442'

Merge remote-tracking branch 'upstream/pull/3439'

Update to iD v2.20.3

Localisation updates from https://translatewiki.net.

Bump eslint from 8.7.0 to 8.8.0

Bumps [eslint](https://github.com/eslint/eslint) from 8.7.0 to 8.8.0.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v8.7.0...v8.8.0)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Fix route for "go public" button on the account edit page

Localisation updates from https://translatewiki.net.

Update bundle

Localisation updates from https://translatewiki.net.

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/3426'

Allow blank issue templates

This was originally intended in #3397 and I'm not sure why I set this
to false.

Merge remote-tracking branch 'upstream/pull/3420'

Update bundle

Merge remote-tracking branch 'upstream/pull/3425'

Bump eslint from 8.6.0 to 8.7.0

Bumps [eslint](https://github.com/eslint/eslint) from 8.6.0 to 8.7.0.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v8.6.0...v8.7.0)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Localisation updates from https://translatewiki.net.

Remove form_action restrictions for sessions#login

Login may redirect to ouath2_authorizations#create which may then
redirect to arbitrary schemes if the application is already authorized
so we need to allow login to redirect to any scheme.

Fixes #3424

Restore form_action restrictions for ouath2_authorizations#create

Remove form_action restrictions for ouath2_authorizations#create

Fixes #3424

Localisation updates from https://translatewiki.net.

rm spaces

add dir="auto" to search fields

Improves right-to-left text input support

Merge remote-tracking branch 'upstream/pull/3418'

Use a state machine for user status

The user status is a bit complex, since there are various states and
not all transitions between them make sense.

Using AASM means that we can name and restrict the transitions, which
hopefully makes them easier to reason about.

Merge remote-tracking branch 'upstream/pull/3416'

Remove params from user deletion test

They have no effect, and are likely a copy-paste error from when
the test was first written in 39a54f8c14d739c95495e0d2c0ca56826eddfe52

Bump qs from 6.10.2 to 6.10.3

Bumps [qs](https://github.com/ljharb/qs) from 6.10.2 to 6.10.3.
- [Release notes](https://github.com/ljharb/qs/releases)
- [Changelog](https://github.com/ljharb/qs/blob/main/CHANGELOG.md)
- [Commits](https://github.com/ljharb/qs/compare/v6.10.2...v6.10.3)

---
updated-dependencies:
- dependency-name: qs
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>

Switch github URLs to use https

Fixes #3415

Avoid putting ActionController::Parameters objects in the session

Update bundle

Replace to_s on TimeWithZone objects with to_formatted_s

Localisation updates from https://translatewiki.net.

Update bundle

Merge remote-tracking branch 'upstream/pull/3411'

Use `assert_link` instead of `assert page.has_link?`

This leads to better error messages if the test fails

Merge remote-tracking branch 'upstream/pull/3410'

Use `assert_content` instead of `assert page.has_content?`

The assert_content comes from capybara, and gives a much more helpful
error message if the test fails.

Localisation updates from https://translatewiki.net.

Use factory_bot to build new model objects

Use factorybot to build user objects

This allows us to only specify attributes of interest in the test.

Merge remote-tracking branch 'upstream/pull/3409'

Attempt to avoid polynomial time matches on user supplied data

Fix display of suspension message when a user is suspended mid-session

Without the ability defined, the user is still logged out, but then
the deny_access check redirects to the login page. The re-login attempt
would then fail anyway, with an error message, but let's fix the abilities
and use the intended page.

Re-enable the Performance/StringIdentifierArgument cop

Update bundle

Merge remote-tracking branch 'upstream/pull/3408'

Remove redundant OpenID URL expansion code

It was only used for Google who have long since dropped OpenID support.

Bump eslint from 8.5.0 to 8.6.0

Bumps [eslint](https://github.com/eslint/eslint) from 8.5.0 to 8.6.0.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v8.5.0...v8.6.0)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Localisation updates from https://translatewiki.net.

Switch to 6.1 defaults as everything has been enabled for some time

Localisation updates from https://translatewiki.net.

Test redirect from settings page to OmniAuth

Fix new rubocop warnings

Update bundle

Localisation updates from https://translatewiki.net.

Allow PATCH for OmniAuth requests

This is required to allow the account settings screen, which now
uses the PATCH verb, to redirect to OmniAuth when the external
authentication provider is changed.

As PATCH still uses CSRF this doesn't impact CVE-2015-9284 which
is the reason for requiring POST and most importantly got not
allowing GET requests to OmniAuth.

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/3404'

Merge remote-tracking branch 'upstream/pull/3403'

Merge remote-tracking branch 'upstream/pull/3402'

Remove unused require statement

The corresponding code was removed in a65cb8428867d92d76bbf051bbd4614966636cf5

Alias the user creation_time column

This allows rails to set the created_at automatically, and so avoids
us from having to do so in a callback. It also hides the unusual
db column name from the rest of the app.

Rename User#delete to User#destroy

"delete" is generally used for immediate SQL deletion without running
any callbacks or other ruby code, whereas "destroy" will trigger callbacks.

Although we don't currently use any callbacks, let's rename this method to
align better with the convention.

Update bundle

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/3399'

Bump eslint from 8.4.1 to 8.5.0

Bumps [eslint](https://github.com/eslint/eslint) from 8.4.1 to 8.5.0.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v8.4.1...v8.5.0)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Add a rake task to migrate trace data to ActiveStorage

Switch traces to use ActiveStorage

Make the storage service to use for avatars configurable

Update to rails 6.1.4.4

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/3397'