Use CanCanCan for notes authorization

Merge remote-tracking branch 'upstream/pull/2073'

Use CanCanCan for changeset comments

This introduces different deny_access handlers for web and api requests, since we want to avoid sending redirects as API responses. See #2064 for discussion.

Update to rails 5.2.1.1

Localisation updates from https://translatewiki.net.

Localisation updates from https://translatewiki.net.

Add links to Welcome Mat on /welcome and /help

Closes #2056

Update Potlatch 2 to 2.5-59-gdd728d5e build

Allow connect_src to match all sites in Potlatch

It seems that Safari matches connections made from a flash application
against connect_src while Firefox uses object_src instead.

Fixes #2067

Localisation updates from https://translatewiki.net.

Fix issues with renaming of diary entry controller

Take security policy URLs from the configuration file

Localisation updates from https://translatewiki.net.

Fix tests for rails 5.2.1 compatibility

Rails 5.2.1 has changed how the request body is handled
internally for a test which means we can no longer cheat
by stashing it in the request environment and must instead
pass it properly to the request method.

Update to rails 5.2.1

Merge remote-tracking branch 'upstream/pull/2060'

Remove custom deny_access handlers

Since these pages are not accessed by normal users, except for url fiddling, it's fine to respond with a generic access denied.

Merge remote-tracking branch 'upstream/pull/2061'

Add a changeset to exercise that part of the contact rendering

Ensure that the blocked template rendering works

Check that a request that requires authentication is redirected when the user hasn't seen the terms

Merge remote-tracking branch 'upstream/pull/2058'

Pluralize changesets controller

Skip CSRF verification for changeset comment actions

Fixes #2057

Localisation updates from https://translatewiki.net.

Update Potlatch 2 to 2.5-57-gaa163622 build

Update Potlatch 2 to 2.5-56-g550aab49 build

Attempt to send pretty 403 errors to web browsers

Merge remote-tracking branch 'upstream/pull/2051'

Merge remote-tracking branch 'upstream/pull/2052'

Merge remote-tracking branch 'upstream/pull/2050'

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/2053'

Remove unnecessary include from redaction model test

Remove unnecessary require statements from tests

Pluralize diary entries controller

Pluralize old_ controllers

Pluralize nodes, ways and relations controllers

Use CanCanCan for redaction authorizations

Migrate UserBlocksController to use CanCanCan

Reduce the max class length after splitting the changeset comments controller tests out

Use relative translations for changeset comments

Rename hide_comment and unhide_comment to destroy and restore

This preserves the API endpoints and HTTP methods, which could be changed in the next API version

Rename comments_feed to index

Rename comment to create

Split changeset comment handling into a changeset_comments controller

Fix rubocop warning

Merge remote-tracking branch 'upstream/pull/2049'

Update leaflet.locate.js

Avoid ordering points from public and private traces

Closes #2046

Merge remote-tracking branch 'upstream/pull/2044'

Use character validate to exclude URL characters for trace tags

Improve character validator error messages

Merge character validators

Merge leading and trailing whitespace validators

Improve consistency of text validations

Added tests for validators

Changed User model to not allow nil display_name (w/ tests)

Converted invalid_chars validator to use locale

Fix rubocop errors

Create invalid_char validators and apply to models

Added more non-ascii chars to validation (matching list of chars in other models)

Fix rubucop errors

Make invalid char list more explicit (between ascii and non ascii chars)

Added trailing/leading whitespace errors to locale

Specifiy invalid chars in username error message
 - Refactored list of invalid chars out to constant

Allow note comments with no body

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/2009'

Merge remote-tracking branch 'upstream/pull/2042'

Limit notes sizes to 2000 characters

Merge remote-tracking branch 'upstream/pull/2023'

Move abilities to a sepatarate top level directory

Merge remote-tracking branch 'upstream/pull/2038'

Only use DelayedJob in production

In development just let the default async adaptor be used so
that people don't need to run a daemon.

On hover, change border to a subtle darker orange, increase strokeWidth

Update to sassc 2.x

Update bundle

Merge remote-tracking branch 'upstream/pull/2037'

Localisation updates from https://translatewiki.net.

Fix new rubocop warnings

Update bundle

Merge remote-tracking branch 'upstream/pull/2039'

Move notifier.rb into app/mailers

This is the expected location for mailers

Use deliver_later for all email sending

Set up Delayed Job as the backend for Active Job

This persists jobs into the database, and uses locking to ensure that
workers from multiple machines avoid treading on each other.

Jobs can be run by using `bundle exec rake jobs:work`

Fixes #2015

Fix error messages when users should not be able to do things

Add testing for moderator users and issues

Remove unnecessary token granting from the user_preferences tests

Sufficient permissions are granted by the basic authorisation, so this
isn't testing anything.

Merge branch 'master' into cancancan

Convert some model mixins to concerns

Update mailmap

Update translation keys for renaming of user to users

Localisation updates from https://translatewiki.net.

Localisation updates from https://translatewiki.net.

Check the oauth token and then use the capabilities directly

Rework capabilities to avoid assumptions about missing tokens

The logic about missing tokens implying logged in users (and that
all logged in users have access to any method protected by a token
capability) is correct. However, I believe it is both confusing and
brittle, and leaves a security-related door ajar for future foot-gun
incidents.

Instead, apply Abilities as normal, and keep the Capabilities
involvement only for situations where a token is provided. This
reduces the cognitive burden when considering Abilities in isolation.

Rework the default denied access handler to give different responses to tokens, logged in users and other users

Update translation keys for renaming of user to users

Fixes #2031

Enable line breaks in performatted text within rich text

This stops redaction details being truncated at the edge of the
page when they have long lines of preformatted text.

Also use a div instead of a paragraph for redaction details so
that formatting is consistent with other rich text blocks.

Closes #1885
Fixes #1845