Merge remote-tracking branch 'upstream/pull/2123'

Update to iD v2.13.1

Don't swallow exceptions deleting traces

Merge remote-tracking branch 'upstream/pull/2120'

Merge remote-tracking branch 'upstream/pull/2122'

Add passthrough of new `locale`, `maprules`, and `presets` URL hash parameters to iD

Update to iD v2.13.0

Write some basic functionality tests for trace.import

Basic tests for the trace jobs

Localisation updates from https://translatewiki.net.

Localisation updates from https://translatewiki.net.

Use gd-ffij gem to create trace icons

This is a port of the gd-based code from the gpx-importer at
https://github.com/openstreetmap/gpx-import

The gd-ffij library does not yet have support for animated gifs, so
we just create a static image for now. But at least that's better than
the non-functioning RMagick code.

Merge pull request #1151 from polarbearing/patch-1

Holiday Apartment is more specific for tourism=apartment

Merge remote-tracking branch 'upstream/pull/2118'

More resourceful routing for nodes, ways, relations and changesets controllers

Merge remote-tracking branch 'upstream/pull/2117'

Remove old authorization helpers

These have been replaced by abilities and capabilities

Ensure authorization checks happen for all controller methods

Skip authorization checks for the errors controller

Fix rubocop warning

Merge remote-tracking branch 'upstream/pull/2116'

Merge remote-tracking branch 'upstream/pull/2115'

Merge remote-tracking branch 'upstream/pull/2111'

Add a configuration flag for using the job queue to import traces

This will allow the code to be merged to master, even if osm.org
isn't ready to start using it yet.

Fix styling of nested lists in rich text

Add noopener and noreferer to links in user generated content

Switch to using kramdown for markdown formatting

Fixes #2103

Sketch out how to use the jobs queue for trace insertion and deletion

Refs #1852

Use CanCanCan to control access to oauth controller actions

Mark non-action methods as protected

Use CanCanCan for nodes, ways, relations, old and api controllers

Localisation updates from https://translatewiki.net.

Localisation updates from https://translatewiki.net.

Add basic tests for browse#new_note and browse#query

Allow everybody to query features

Allow everybody to create new notes

Fixes #2110

Merge remote-tracking branch 'upstream/pull/2109'

Merge remote-tracking branch 'upstream/pull/2108'

Merge remote-tracking branch 'upstream/pull/2107'

Merge remote-tracking branch 'upstream/pull/2106'

Merge remote-tracking branch 'upstream/pull/2105'

Use CanCanCan for oauth clients controller

Use CanCanCan for messages controller

Use a builder view for the capabilities call

This is easier to work with than building the XML document by hand
in the controller.

Use full list of osm xml root attributes in builder templates

Use CanCanCan for changesets controller

The expand_bbox method now needs require_write_api capability on tokens.

Use CanCanCan for traces controller

Use CanCanCan for swf controller

Skip authorization checks for amf controller

Add missing authorize_resource declaration to geocoder controller

Use CanCanCan for directions controller

Use CanCanCan for browse controller

Update bundle

Revert to omniauth-google-oauth2 version 0.5.3

Localisation updates from https://translatewiki.net.

Fix new rubocop warning

Update bundle

Localisation updates from https://translatewiki.net.

Use CanCanCan for export controller

Use CanCanCan for search controller

Merge remote-tracking branch 'gravitystorm/terms_capabilities'

Require terms agreement for abilities and capabilities related to api write methods

Replace custom panning with new panInside leaflet method

Update leaflet.locate.js

Update leaflet to 1.4.0

Localisation updates from https://translatewiki.net.

Allow inline styling on pages that display the map

Both leaflet itself and at least one of our plugins use inline
styling to style markers so we need to allow it.

Fixes #2093

Localisation updates from https://translatewiki.net.

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/2087'

Update to iD v2.12.2

Localisation updates from https://translatewiki.net.

Allow abilities that require no login for token based access

Fixes #2085

Merge remote-tracking branch 'upstream/pull/2084'

Merge remote-tracking branch 'upstream/pull/2083'

Refactor users_controller to use CanCanCan for authorisation

Use only token capabilities when a token is provided

The Authenticate#allow? method (from oauth-plugin) sets current_user as a side
effect of checking the token. But this allows a valid token to access
all actions that are available to that user, beyond the capabilities for
that token.

Localisation updates from https://translatewiki.net.

Only check IP addresses for anonymous note comments

Merge remote-tracking branch 'upstream/pull/2080'

Update to iD v2.12.1

Merge remote-tracking branch 'upstream/pull/2079'

Update to rails 5.2.2

Update to iD v2.12.0

Localisation updates from https://translatewiki.net.

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/2078'

Use CanCanCan for user_roles auth

Merge remote-tracking branch 'upstream/pull/2072'

Split browse_helper.rb into two modules due to rubocop ModuleLength

Merge remote-tracking branch 'upstream/pull/2075'

Merge remote-tracking branch 'upstream/pull/2074'

Remove user_roles integration test since it is not meaningful

This test has not been meaningful for a long while, since both check_success and check_fail contain exactly the same code.

Additionally, the test doesn't cover any integrations (beyond logging in), and so it is only covering the same ground as the controller test.

Remove the unused require_moderator filter

Use of this filter has been refactored to use CanCanCan

Use CanCanCan for notes authorization

Merge remote-tracking branch 'upstream/pull/2073'

Use CanCanCan for changeset comments

This introduces different deny_access handlers for web and api requests, since we want to avoid sending redirects as API responses. See #2064 for discussion.

Update to rails 5.2.1.1

Show tel: links for multiple phone numbers separated by ;

Closes #2069

Localisation updates from https://translatewiki.net.