Merge pull request #4908 from tomhughes/changeset-size-limit

Add the ability to limit changeset size

Add tests for API changeset size limits

Update tests to avoid triggering changeset size limits

Enforce changeset size limit for API calls which make changes

Add support for per-user limits on the size of changes that can be made

Update bundle

Merge remote-tracking branch 'upstream/pull/4891'

Merge remote-tracking branch 'upstream/pull/4905'

Move diary comments hide/unhide actions to comments controller

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/4902'

Merge remote-tracking branch 'upstream/pull/4899'

Introduce geocode event callback for route endpoints

Removes remaining getRoute() call from endpoint objects.

Introduce drag event callback for route endpoints

Avoids calling getRoute() from within endpoint objects.

Use default og:image if Addressable::URI fails

Join and normalize og:image url using Addressable

Avoids failing on urls that are not strictly rfc2396 URIs.

Bump eslint from 9.4.0 to 9.5.0

Bumps [eslint](https://github.com/eslint/eslint) from 9.4.0 to 9.5.0.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v9.4.0...v9.5.0)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge remote-tracking branch 'upstream/pull/4897'

Merge remote-tracking branch 'upstream/pull/4896'

Use .is-invalid to highlight routing inputs with failed geocode lookups

Remove global "awaiting geocode" routing state

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/4892'

Show u-turn icons for GraphHopper u-turn instructions

Show fork icons for GraphHopper keep right/left instructions

Merge remote-tracking branch 'upstream/pull/4889'

Update bundle

Localisation updates from https://translatewiki.net.

Localisation updates from https://translatewiki.net.

Move diary comments index action to comments controller

Merge remote-tracking branch 'upstream/pull/4883'

Drop dummy classes that are unneeded and don't work

Merge remote-tracking branch 'upstream/pull/4875'

Merge remote-tracking branch 'upstream/pull/4888'

Merge remote-tracking branch 'upstream/pull/4886'

Merge remote-tracking branch 'upstream/pull/4885'

Redraw routing sprites

Add note and diary comments counts to the user profile

Fixes #1643

Don't set width of richtext preview

Remove unused map link locale strings

Don't add site name to og:title when page title is provided

Merge remote-tracking branch 'upstream/pull/4882'

Merge remote-tracking branch 'upstream/pull/4881'

Add last edited date to user profile

Fixes #3437

Ensure that Open Graph image url is absolute

Set Open Graph image to first image for diary entries

Add image method to get first image from rich text

Merge remote-tracking branch 'upstream/pull/4877'

Merge remote-tracking branch 'upstream/pull/4878'

Merge remote-tracking branch 'upstream/pull/4876'

Update to rails 7.1.3.4

Update bundle

Move changeset subscribe/unsubscribe locale strings out of javascripts

Write changeset subscribe/unsubscribe buttons using tag.button

Move comment changeset locale string out of javascripts

Write changeset comment button using tag.button

Move show/hide changeset comment locale strings out of javascripts

Fix setting "From" in directions form based on search query

Remove Open Graph og:image:secure_url property

Merge remote-tracking branch 'upstream/pull/4871'

Merge remote-tracking branch 'upstream/pull/4873'

Merge remote-tracking branch 'upstream/pull/4870'

Remove .btn-sm from changeset comment button

Localisation updates from https://translatewiki.net.

Use button elements that allow word wrap for note controls

Decrease bottom padding of search form

Use flex in routing form for vertical gaps

Use flex in routing form to fix marker column width

Increase font size in directions controls

Merge remote-tracking branch 'upstream/pull/4864'

Merge remote-tracking branch 'upstream/pull/4868'

Merge remote-tracking branch 'upstream/pull/4867'

Merge remote-tracking branch 'upstream/pull/4866'

Merge remote-tracking branch 'upstream/pull/4863'

Inline svg sprites on about page

Write closed note controls using submit_tag

Increase font size in search form

Replace search button text with svg icon

Don't include language prefix in wikipedia links

Bump eslint from 9.3.0 to 9.4.0

Bumps [eslint](https://github.com/eslint/eslint) from 9.3.0 to 9.4.0.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v9.3.0...v9.4.0)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge remote-tracking branch 'upstream/pull/4843'

Merge remote-tracking branch 'upstream/pull/4857'

Merge remote-tracking branch 'upstream/pull/4847'

Localisation updates from https://translatewiki.net.

Fixed "or divider" issue described in #4773 by adding mb-2 below "or" divider

Social sign-in: avoid re-authorization in `users_controller#create`

It does not add any additional guards against malicious users:

Malicious user may attempt to invoke `POST /users/new` with bogus
values for `auth_provider` and `auth_uid` resulting
with a new account to which user would have a way to login, other than
sending a password reset request.

In some cases, re-authorization would introduce additional
"Please login to your social account", or "Are you sure you want to be logged in"
popup triggered by identity provider.

This PR removes the re-authorization request from `POST /users/new` in authorization flow.

Merge remote-tracking branch 'upstream/pull/4860'

Re-enable autocomplete for passwords

Regression for c4347c8d9a10bf5c141ad7d355594b93e20545f6

Thankfully browsers ignore this for login fields, but it shouldn't
be turned off anyway.

Re-enable translations for password field

Fixes regression introduced in c4347c8d9a10bf5c141ad7d355594b93e20545f6

Merge remote-tracking branch 'upstream/pull/4859'

Merge remote-tracking branch 'upstream/pull/4853'

Merge remote-tracking branch 'upstream/pull/4849'

Move check_api_readable to api_controller

It's easier to skip the check in the two places that we need to, and
include it by default everywhere else.

Test the versions and capabilities api in various statuses

These both need to keep working, even when the rest of the api is
unavailable, since that's how we communicate that status with the
api clients.

Standardise on avoiding except lists for check_api_readable

Although this is technically duplicative, it's much easier to read
and therefore to maintain, particularly if you put the _readable one
first.

Remove duplicate database status checks

These are already done as part of the api checks

Add api_status checks for user preferences API

Merge pull request #4856 from tyrasd/patch-2

reintroduce unsafe-eval CSP rule for iD (Mapillary layer)

reintroduce unsafe-eval CSP rule for iD

fixes https://github.com/openstreetmap/iD/issues/10265

Fixed "auth_button_preferred alignment" issue described in #4773