Merge remote-tracking branch 'upstream/pull/3409'

Attempt to avoid polynomial time matches on user supplied data

Fix display of suspension message when a user is suspended mid-session

Without the ability defined, the user is still logged out, but then
the deny_access check redirects to the login page. The re-login attempt
would then fail anyway, with an error message, but let's fix the abilities
and use the intended page.

Re-enable the Performance/StringIdentifierArgument cop

Update bundle

Merge remote-tracking branch 'upstream/pull/3408'

Remove redundant OpenID URL expansion code

It was only used for Google who have long since dropped OpenID support.

Bump eslint from 8.5.0 to 8.6.0

Bumps [eslint](https://github.com/eslint/eslint) from 8.5.0 to 8.6.0.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v8.5.0...v8.6.0)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Localisation updates from https://translatewiki.net.

Switch to 6.1 defaults as everything has been enabled for some time

Localisation updates from https://translatewiki.net.

Test redirect from settings page to OmniAuth

Fix new rubocop warnings

Update bundle

Localisation updates from https://translatewiki.net.

Allow PATCH for OmniAuth requests

This is required to allow the account settings screen, which now
uses the PATCH verb, to redirect to OmniAuth when the external
authentication provider is changed.

As PATCH still uses CSRF this doesn't impact CVE-2015-9284 which
is the reason for requiring POST and most importantly got not
allowing GET requests to OmniAuth.

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/3404'

Merge remote-tracking branch 'upstream/pull/3403'

Merge remote-tracking branch 'upstream/pull/3402'

Remove unused require statement

The corresponding code was removed in a65cb8428867d92d76bbf051bbd4614966636cf5

Alias the user creation_time column

This allows rails to set the created_at automatically, and so avoids
us from having to do so in a callback. It also hides the unusual
db column name from the rest of the app.

Rename User#delete to User#destroy

"delete" is generally used for immediate SQL deletion without running
any callbacks or other ruby code, whereas "destroy" will trigger callbacks.

Although we don't currently use any callbacks, let's rename this method to
align better with the convention.

Update bundle

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/3399'

Bump eslint from 8.4.1 to 8.5.0

Bumps [eslint](https://github.com/eslint/eslint) from 8.4.1 to 8.5.0.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v8.4.1...v8.5.0)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Update to rails 6.1.4.4

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/3397'

Merge remote-tracking branch 'upstream/pull/3394'

Update to rails 6.1.4.3

Update to rails 6.1.4.2

Update bundle

Localisation updates from https://translatewiki.net.

Localisation updates from https://translatewiki.net.

Refactor the account edit/update pages out into a separate accounts controller

Bump eslint from 8.4.0 to 8.4.1

Bumps [eslint](https://github.com/eslint/eslint) from 8.4.0 to 8.4.1.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v8.4.0...v8.4.1)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>

Update bundle

Merge remote-tracking branch 'upstream/pull/3393'

Merge remote-tracking branch 'upstream/pull/3392'

Merge remote-tracking branch 'upstream/pull/3391'

Bump qs from 6.10.1 to 6.10.2

Bumps [qs](https://github.com/ljharb/qs) from 6.10.1 to 6.10.2.
- [Release notes](https://github.com/ljharb/qs/releases)
- [Changelog](https://github.com/ljharb/qs/blob/master/CHANGELOG.md)
- [Commits](https://github.com/ljharb/qs/compare/v6.10.1...v6.10.2)

---
updated-dependencies:
- dependency-name: qs
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>

Bump eslint from 8.3.0 to 8.4.0

Bumps [eslint](https://github.com/eslint/eslint) from 8.3.0 to 8.4.0.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v8.3.0...v8.4.0)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Localisation updates from https://translatewiki.net.

Added `highway=turning_circle`

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/3388'

Revert to the last es5-compatible version of locatecontrol

Refs #3387

Merge pull request #3384 from HolgerJeromin/patch-1

bug issue template: removed browsers

Update bundle

Merge remote-tracking branch 'upstream/pull/3385'

Localisation updates from https://translatewiki.net.

Bump leaflet.locatecontrol from 0.74.1 to 0.76.0

Bumps [leaflet.locatecontrol](https://github.com/domoritz/leaflet-locatecontrol) from 0.74.1 to 0.76.0.
- [Release notes](https://github.com/domoritz/leaflet-locatecontrol/releases)
- [Changelog](https://github.com/domoritz/leaflet-locatecontrol/blob/gh-pages/CHANGELOG.md)
- [Commits](https://github.com/domoritz/leaflet-locatecontrol/compare/v0.74.1...v0.76.0)

---
updated-dependencies:
- dependency-name: leaflet.locatecontrol
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

remove browser list

bug issue template: resorting browsers

Merge remote-tracking branch 'upstream/pull/3379'

Merge remote-tracking branch 'upstream/pull/3382'

Merge remote-tracking branch 'upstream/pull/3381'

Merge remote-tracking branch 'upstream/pull/3380'

Merge remote-tracking branch 'upstream/pull/3378'

Merge remote-tracking branch 'upstream/pull/3377'

Merge remote-tracking branch 'upstream/pull/3376'

Localisation updates from https://translatewiki.net.

Drop the trace_use_job_queue option

This has been set as true by default, and in production, for many
years. I don't think there's much use in keeping the setting around
any longer.

Remove emergency=yes fallback description

This leads to confusion on features otherwise tagged (e.g. roads)
while not being necessary for nominatim results.

Fixes #3170

Prevent flash messages from expanding offscreen

Because we are using an edge-to-edge layout for the flash messages,
the negative margins on the row were expanding the element offscreen.

Bootstrap provides a "no-gutter" class for removing these margins,
but that also drops the spacing between columns which we want to preserve.
So instead we use a margin override on the row only.

Additionally, drop some padding css in favour of a utility class

Fixes #3351

Bug was introduced in 3dd639c8d02677b773935aa982ba0c9f3cc209e5

Add some issue templates and links to other repositories

This should help new users find the right place to go with their issue,
while also letting people use the blank template if they prefer.

The templates are heavily inspired by similar templates in the iD repo.

Fixes #3358

Use flex grid to position changeset discussion subscribe button

This avoids needing any floats. Also remove buttons class from two
locations, since there is a min-width on that class and it affects
the button styling negatively for standalone buttons

Remove some unused thumbnail rules

These are all done with flex grids now, so no need to float the image anywhere

Simplify margins when showing diary entries

Remove unused browse-field style rules

Pass classes to override the default thumbnail_tiny style, rather than having another selector overriding

Replace CSS-driven borders with bootstrap borders

This makes future refactoring easier, since the elements will
retain their borders even if the hierarchy changes.

Also round some maps and the legale section since I think those now
look nicer.

Remove border-radius parameter

This overrides the same variable from bootstrap. Since bootstrap
also comes with -sm and -lg variants defined by rem, our px-based
override doesn't sit nicely with those.

Use flex grid instead of floating to position changeset element paging nav

This works much better when either the heading or the paging is long.

The heading was moved into the partial to avoid repetitive grid definitions

Remove the custom flash styling for sidebar flashes

The flash partial is now based on flexbox, so these positioning classes
are no longer required

Remove the floating from the sidebar close buttons

These are mostly positioned with flexbox, and those that aren't
are covered by the similar close-wrap selector elsewhere in this file

Add a user link to the heading of the diary comments page

Fixes #3369

This makes the heading match the layout of the user's Notes page,
which also has a short heading and a subheading with a link.

Additionally, add a page title, again for consistency

Bump actions/cache from 2.1.6 to 2.1.7

Bumps [actions/cache](https://github.com/actions/cache) from 2.1.6 to 2.1.7.
- [Release notes](https://github.com/actions/cache/releases)
- [Commits](https://github.com/actions/cache/compare/v2.1.6...v2.1.7)

---
updated-dependencies:
- dependency-name: actions/cache
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>

Validate any origin passed the auth failure callback

Fixes #3375

Improve fallback behaviour for unsafe referer redirects

Handle authentication failure callbacks with no message

Handle exceptions rendering flash messages

Make safe_referer handle invalid URIs

Merge remote-tracking branch 'upstream/pull/3373'

Bump eslint from 8.2.0 to 8.3.0

Bumps [eslint](https://github.com/eslint/eslint) from 8.2.0 to 8.3.0.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v8.2.0...v8.3.0)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Disable oxipng in image_optim config

Update bundle

Localisation updates from https://translatewiki.net.

Drop unused browser feature predicates

Drop es5 polyfill

Drop use of html5shiv

Fixes #3367

Localisation updates from https://translatewiki.net.

Fix boot warnings for autoloaded constants in initializers

Send plain errors for non HTML resources

Without this we throw a second error when we can't find a view
of the correct format and issue a 500 response.

Fix new rubocop warnings

Update bundle

Merge remote-tracking branch 'upstream/pull/3353'

Localisation updates from https://translatewiki.net.