use token in ability checks

fix tests for site controller

don't check authorization everywhere

Add cancancan and the first ability definitions for site_controller

Allow inline javascript and CSS in better_errors pages

Assign vandalism reports for users to moderators

Only include issues visible to the current user in the count

Avoid using "other" as a translation key

Fix typoed expansion variable in translation

Show count of open issues in the header

Set the locale for issue and report views

Merge remote-tracking branch 'upstream/pull/1576'

Remove quad_tile library and extract to gem

Quad tile functions are now installed via a gem with native extension
automatically. This improves the run time of the test suite by ~30% for
users that didn't bother to build the C version of the functions.

Closes #1314
Closes #1899

Update to iD v2.9.0

Localisation updates from https://translatewiki.net.

Default to only showing open issues

Improve system tests for issues

Improve model tests for issues

Improve controller tests for issues

Make report type a required field

Make reportable item titles translatable

Merge branch 'master' into next

Use lazy lookups for translations in issues

Avoid losing filter settings when an invalid user is entered

Use select_tag for issue filter fields instead of abusing select

Add some extra indexes on issues

Localisation updates from https://translatewiki.net.

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/1892'

Update style for change of name for message controller

Merge remote-tracking branch 'upstream/pull/1893'

Merge remote-tracking branch 'upstream/pull/1894'

Merge remote-tracking branch 'upstream/pull/1895'

Allow iD to access ESRI imagery metadata

Update Potlatch 2 to 2.5-37-ga38498b2 build

Speed up tests by making fewer random changes

The old_node_controller#test_version in particular was slow, since
it saves a huge number of tags when adding a tag 30 times over. Since
the tests are random and not based on the number of iterations, this
reduces the iteration counts.

Prefer the  helper in controllers

This avoids future gotchas with conversion to lazy lookups.

Fix lazy i18n lookups for browse error pages

`I18n.t` doesn't support lazy lookups, whereas the equivalent
rails `t` helper does. The code can also be simplified to avoid the
lookup table.

Fixes 1877

Fix missing message translation strings

Refactor messages show action to be resourceful

Refactor inbox and outbox paths to avoid display names in urls.

Refactor trace creation pages

Split the trace creation into new and create methods, with standard resourceful routing. Provide a redirect for external requests to the old url.

Localisation updates from https://translatewiki.net.

Revert to using ubuntu/xenial64  with virtualbox

The generic/ubuntu1604 box doesn't support the vbox extensions.

Only set QT_QPA_PLATFORM if phantomjs fails without it

Update vagrant configuration

Use a common box for all platforms and fix up various
issues with the provisioning script.

Set QT_QPA_PLATFORM to offscreen in the test environment

Works around an issue with the weird way the debian/ubuntu
version of phantomjs is built:

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=817277
https://github.com/ariya/phantomjs/issues/14376

Quote translations to stop them looking like numbers

Localisation updates from https://translatewiki.net.

Avoid using inline javascript to update message list

Concept URIs for Wikidata entities

Wikidata entities should be linked using concept URIs, which are
permanent. This is the right way of linking web resources according
to the Linked Data principles.

Closes #1884

Quote translations to stop them looking like numbers

Localisation updates from https://translatewiki.net.

Update for final linear-gradient syntax

Remove include of Mixin.Events

The Events mixin has been replaced by inherting from Evented and
the Layer class already inherits from that.

Update bundle

Change language immediately after updating settings

Closes #1883

Quote translations to stop them looking like numbers

Localisation updates from https://translatewiki.net.

Improve HOT layer attribution

The style is by HOT and the server is provided by OpenStreetMap France.

Closes #1882

Merge remote-tracking branch 'upstream/pull/1880'

Wrap the permission label with a <label> tag

Gives the user a larger target to toggle a permission.

update New Zealand copyright based on current attribution instructions from LINZ

Merge pull request #1871 from hikemaniac/browse-icon-typo

Fix a browse icon typo

Don't override non-existent policy

Use an empty array for ruby 2.3 compatibility

Apparently `false.dup` throws in ruby 2.3 and not in 2.5...

Completely remove form-action restrictions for OAuth callbacks

The CSP3 draft only allows a * rule match network schemes and
mobile devices often use callbacks to custom URL schemes.

Quote translations to stop them looking like numbers

Allow CSP to be put in enforcing mode

Update swfobject to use uncompressed source

Localisation updates from https://translatewiki.net.

Add missing dependencies

Allow inline styles in iD

Rebase to current master

Merge openstreetmap/openstreetmap-website into hikemaniac/openstreetmap-website

Use XHR instead of jsonp for GraphHopper

Closes #1872

Update for rubocop 0.54.0

Update bundle

Configure manifest-src and worker-src in security policy

Preserve schemes in security policy

Quote translations to stop them looking like numbers

Quote translations to stop them looking like numbers

Convert note view to use server side conditions

Fixes #1869

Add piwik to allowed URIs in connect-src

Localisation updates from https://translatewiki.net.

Remove unsafe-inline form default style policy

Remove some inline styles

Merge remote-tracking branch 'upstream/pull/1866'

Allow iD to access wikidata

Revert "Remove unused POST method for message replies"

This reverts commit 40cab845fbabb3f0aa8131c16e48cd3d58b6dcb3.

Allow iD to access wikipedia

Remove if_user and similar methods

Rather than hiding features based on CSS, just avoid including them
in the output. Fixes #1862

Fix test which was accidentally testing as the entry user twice

Fix a browse icon typo.

Merge remote-tracking branch 'upstream/pull/1863'

Tell jshint about bowser

Use https to launch the remote editor except for modern browsers

Currently only Chrome 53+ and Firefox 55+ are known to support loading
of http resources from localhost for an https page.

Default frame-src to self

Add frame-src to allow http://127.0.0.1:8111

Ensure database is writable before destroying a message

Rename messages#read to #show

Also rename the named path, to align with resourceful routing