Prevent API tokens without write_notes creating attributed comments

Fixes #4362

Fix dependency

Merge remote-tracking branch 'upstream/pull/4358'

Merge remote-tracking branch 'upstream/pull/4356'

Update bundle

Remove 'need to return bbox' comment on conditions_bbox

Remove 'basic attributes' comments from changeset api output builders

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'upstream/pull/4351'

Merge remote-tracking branch 'upstream/pull/4350'

Localisation updates from https://translatewiki.net.

Update oauth configuration url input label

Remove save user step when configuring permissions

Hash passwords as soon as a new user is created

Preserve pass_crypt_confirmation in the new user hash

Merge remote-tracking branch 'upstream/pull/4349'

Merge pull request #4348 from tomhughes/native-enum

Switch to using native rails support for managing Postgres enumerations

Underline time elements that have a title

This replicates the previous use of abbr tags, with improved semantics.

Although we only use time tags in one place at the moment, the attribute
filter protects against any usage in the future that doesn't need a title
indication.

Simplify date display by using friendly_date helpers

Avoid wrapping friendly_date with abbr tags

Use friendly_date helpers for revoking user blocks

Use friendly_date for note disappear description

There's no need to reimplement this in its own helper.

Use the friendly_data_ago helper for contacts on the dashboard

Also take the opportunity to fix the translation key.

Use time instead of abbr element for changesets_helper

Avoid wrapping time tags in abbr for note_helper

Add missing tests for friendly_date_ago helper

Switch to using native rails support for managing Postgres enumerations

Use html 'time' element for friendly date helpers

This provides more structure than just a simple span.

Merge remote-tracking branch 'upstream/pull/4319'

Merge pull request #4333 from mapmeld/rtl-on-tag-values

Format right-to-left and bi-di text in OSM tag values

Format right-to-left and bi-di text in OSM tag values

Merge pull request #4311 from tomhughes/query-locales

Improve name selection with the query tool

Merge remote-tracking branch 'upstream/pull/4346'

Remove global text-align declarations

These interfere with directions set in `dir` attributes, e.g. `dir='auto'`.

The corresponding text-align was removed in Bootstrap 5.

Fixes #3432.

Merge pull request #4318 from tomhughes/rails-71-defaults

Enable remaining rails 7.1 defaults

Improve name selection with the query tool

Pass the full expanded list of preferred languages to the client
and use that when looking for the best name for an object.

Fixes #4310

Merge remote-tracking branch 'upstream/pull/4297'

Remove some tag table custom css

Merge remote-tracking branch 'upstream/pull/4345'

Update bundle

Remove $spacer css from browse status panel

Remove $spacer css from sidebar content

Update to rails 7.1.2

Merge remote-tracking branch 'upstream/pull/4343'

Merge remote-tracking branch 'upstream/pull/4342'

Merge remote-tracking branch 'upstream/pull/4341'

Merge remote-tracking branch 'upstream/pull/4340'

Merge remote-tracking branch 'upstream/pull/4339'

Localisation updates from https://translatewiki.net.

Remove custom css and large left margin for map noscript message

Remove unused maximiseMap/minimiseMap functions

Remove some custom css for pages with embedded iD

Remove custom css and unnecessary div nesting of welcome panel

Remove relative position from sidebar child divs other than banners

Merge remote-tracking branch 'upstream/pull/4336'

Set banner close button background/opacity with Bootstrap

Use dark theme to invert banner close button

Localisation updates from https://translatewiki.net.

Use the URL safe base64 variant for mail tokens

Add secrets to gitignore

Merge remote-tracking branch 'upstream/pull/4331'

use api.openstreetmap.org for API calls when running on www.osm.org

see https://github.com/openstreetmap/operations/issues/951

Update to iD v2.27.3

Strengthen the tokens used in email reply addresses

Remove production credentials from the repository

These (well master.key at least) should never have been here
but fortunately we haven't really been using them.

Use secure_compare to compare passwords and tokens

It's unlikely there is an explotable attack here given than network
latencies and variability will swamp any local timing differences but
it's best practice and there's no reason not to.

Merge remote-tracking branch 'upstream/pull/4322'

Update bundle

Localisation updates from https://translatewiki.net.

Bump eslint from 8.52.0 to 8.53.0

Bumps [eslint](https://github.com/eslint/eslint) from 8.52.0 to 8.53.0.
- [Release notes](https://github.com/eslint/eslint/releases)
- [Changelog](https://github.com/eslint/eslint/blob/main/CHANGELOG.md)
- [Commits](https://github.com/eslint/eslint/compare/v8.52.0...v8.53.0)

---
updated-dependencies:
- dependency-name: eslint
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #4321 from HolgerJeromin/patch-1

fix link to stateofthemap.africa

fix link to stateofthemap.africa

Localisation updates from https://translatewiki.net.

Fix eslint warnings

Make change set comment rate limit errors display properly

Fixes #4320

Use postgres 14 for docker

Add tests for API change rate limits

Enforce rate limit for API calls which make changes

Add support for per-user limits on the rate changes can be made

Add importer role that can be associated with higher rate limits

Only count new reports as active for rate limits

Fix new rubocop warnings

Update bundle

Localisation updates from https://translatewiki.net.

Avoid storing user records in the session during signup

This works around an issue with rails failing to preserve attribute
change flags and is in line with upstream advice against storing models
in the session in this way.

https://github.com/rails/rails/issues/49826
https://github.com/rails/rails/issues/49827

Switch to rails 7.1 defaults

Change log level for DebugExceptions to error

Use an HTML5 parser for tests

Use an HTML5 standards-compliant sanitizer

Commit transactions exited by return, break or throw

Enable optimisation of checks for parent record existence

Limit log file size in development and test

Stop parameter hashes comparing equal to normal hashes

Drop X-Download-Options from default headers

Stop adding autoloaded paths to $LOAD_PATH

Merge remote-tracking branch 'upstream/pull/4308'

Enable rails 7.1 changes to model callbacks

Enable precompilation of filter_parameters

Enable rails 7.1 defaults that relate to rolling upgrades

Enable rails 7.1 defaults for features we don't use