Add additional types to PackageInstallationNodeBuilder

Add additional types to Install/UninstallPackageAction

Drop redundant PHPDoc type in PackageInstallationStep

Merge branch '5.5'

Remove obsolete `requirejs` dependency from extra/

Move `@woltlab/r.js` into dependencies from devDependencies

Use explicit git+https URL for r.js

Make use of `@woltlab/r.js`

Install `@woltlab/r.js` in extra/

Release 5.5.7 dev 1

Updating minified JavaScript files

Merge branch '5.5'

Construct the profile url using just the user id

The attempt to embed the username into the URL is flawed, because it provides none of the server side transformations performed when naturally generating those URLs.

The currently implementation causes a redirect for most usernames anyway. Besides those redirects take place early in the processing of the controller and thus are acceptable.

Removing the username from the artificially constructed URL will now always cause a redirect, but do not break web servers with less permissive rewrite rules.

See https://www.woltlab.com/community/thread/297758-url-memberlist-suche-%C3%ACst-falsch/

Add some additional types to PackageInstallationNodeBuilder

Merge branch '5.5'

Merge pull request #5126 from WoltLab/package-cleanup

Further clean up package archive handling logic

Schedule the restore of the scroll position for the next loop

The previous delay of 1ms causes issue by actions that also try to delay their execution to the next run of the event loop. These will get executed while the page offset has not been adjusted, causing the calculations to be incorrect.

This primarily affects the editor which makes use of `setTimeout()` to workaround some browser limitations.

See  https://www.woltlab.com/community/thread/297841-einf%C3%BCgen-von-links-in-den-editor/

Remove PackageArchive::isValidUpdate()

The method relies on the stateful `PackageArchive::$package` property and
`PackageArchive::filterUpdateInstructions()` which is super intransparent.

The last remaining user was removed in the previous commit.

see #5094

Use `PackageArchive::getUpdateInstructionsFor()` in PackageValidationArchive

This removes the only user of `PackageArchive::isValidUpdate()` which will be
removed in a follow-up commit.

Add PackageArchive::getUpdateInstructionsFor()

Mark PackageValidationArchive::$archive as `readonly`

Remove unused PackageValidationArchive::$parent property

Narrow `protected` to `private` in PackageValidationArchive

Mark PackageValidationArchive as final

Remove useless check for `applicationDirectory` in PackageInstallationDispatcher::installPackage()

The key will always exist in the `$nodeData`.

Remove useless conditions in PackageInstallationDispatcher::installPackage()

The `foreach()` loops handle empty arrays just fine.

Update focus-trap and tabbable

Update esbuild

Merge branch '5.5'

Update `@types/google.maps` and `@types/facebook-js-sdk`

Update eslint

Update `tslib`

Merge branch '5.5'

Add the CSS class `.formAttachmentListItem` to existing attachments on page load

See https://www.woltlab.com/community/thread/297604-dateianh%C3%A4nge-werden-bei-mehrsprachigkeit-nicht-zwischen-editoren-synchronisiert/

Merge pull request #5124 from WoltLab/implicit-xsrf-validation

Implicit XSRF checks for PSR-15 controllers with opt-out

Unbreak PackageArchive::getExistingRequirements() for com.woltlab.wcf

com.woltlab.wcf is special, because it has no dependencies, thus failing the
assertion.

see 792278848e22a9c1bbe710176ed9f54f67f0fa7d

Merge pull request #5125 from WoltLab/package-archive-cleanup

Further clean up the package system

Perform the least expensive validations first

Co-authored-by: Tim Düsterhus <duesterhus@woltlab.com>

Fix the check for safe HTTP verbs

Co-authored-by: Tim Düsterhus <duesterhus@woltlab.com>

Add a helper method to validate if the HTTP verb requires an XSRF check

Move `DisableXsrfCheck` into a separate class file

Remove PackageArchive::getAllExistingRequirements()

The last remaining user of this method was removed in the previous commit. The
logic of this method was overly complex:

- It handled the possibility that a single package is installed multiple times,
  which is not possible since forever.
- It contained special (and semi-broken) logic for requirement links that are
  already stored in the database. Since a93b160e72731d72e58a13052c1b6b83b089552a
  all requirements in the database were deleted before this method was called
  in PackageInstallationDispatcher. It also failed to account for a requirement
  link existing, but the target package being of an insufficient version.

Stop using PackageArchive::getAllExistingRequirements()

The method is overly complex and will be removed in a follow-up commit.

Further streamline the logic in PackageArchive::getExistingRequirements()

Remove obsolete handling of duplicated packages in PackageArchive::getExistingRequirements()

`package` is a UNIQUE KEY in the database, the deleted logic was dead code.

Add proper types to Package::checkFromversion()

Remove PackageArchive::isValidInstall()

This method is unused, instead the existing logic checks if
`->getInstallInstructions()` is (non-)empty.

Do not attempt to sanitize the path to `[internal function]`

This looks ugly and leaks some information: How deep WoltLab Suite Core is
location within the file system hierarchy.

Add `DisableXsrfCheck` attribute to opt out of the automated XSRF validation

Reject requests for `RquestHandlerInterface` implementations without a valid XSRF token

GET and HEAD requests are always exempt from the validation, because these are by definition safe actions (*).

(*) Legacy implementations violated this principle, but this is a bad practice and is frowned upon in new PSR implementation.

Merge pull request #5123 from WoltLab/background-queue-http-header

Migrate the forced check of the background queue to a HTTP response header

Reorder the conditions to make it easier to understand

Co-authored-by: Tim Düsterhus <duesterhus@woltlab.com>

Move the HTTP header name into a common class

Move the HTTP header for legacy requests into the `AJAXProxyAction`

Move the PhpDoc comment to the public API

Use `isACPRequest()` instead of probing for the `WCFACP` class

Stop injecting `forceBackgroundQueuePerform` into AJAX responses

Skip the background queue check for backend requests

Check the background queue when the response header is present

Conditionally add `woltlab-background-queue-check: yes` to the response

This header is intended to signal the client that an async check for pending jobs in the background queue should be dispatched.

Fix the creation of DOM elements from a HTML string

The naive approach of using `innerHTML` does not work for script tags. These are only recognized when they are manually inserted into the DOM for security reasons.

Merge pull request #5122 from WoltLab/json-request-body

Add JsonBody middleware

Merge pull request #5121 from WoltLab/formbuilder-id-escape

Properly escape special characters in form builder IDs

Properly escape special characters in form builder IDs

Improve content-type check in JsonBody middleware

Transparently decode JSON requests

Add __valueIntervalFormFieldDependency.tpl to syncTemplates.json

Add npm script to refresh the web component bundle

Merge pull request #5117 from WoltLab/js-preload

Preload phrases for use in TypeScript

Replace `@\unlink()` with a check for file existence

Use the `AtomicWriter` to create the phrase cache

Fix the logic of the check for the phrase preload rebuild

Rebuild compiled JavaScript

Fix bad merge in EnforceAcpAuthentication middleware

The exception should no longer be there.

see a693ef9dc6ab80b8c3c4671923071e4b9f9b23f3
see 2115b6456f75068740d54db29d4b5970a4bb7f36

Merge branch '5.5'

Merge commit '89b58a82cfb6e8c098b9a5b19118caedca5b386d'

Update composer dependencies

Merge pull request #5120 from WoltLab/package-fix-update

Clean up package archive handling

`getSearchFormElement()` expects a string for the value parameter

Validate that the searched option implements the required interface

Remove selection markers after discarding the link dialog

See https://www.woltlab.com/community/thread/297178-links-bearbeiten-und-kopieren/

Bind the event listeners for the RSS feed dialog everytime

The dialog is replaced with the provided HTML on every invocation. Since this is a named dialog, the instance is set up once, but rebuild with every invocation.

See https://www.woltlab.com/community/thread/297896-kopieren-schaltfl%C3%A4che-nach-erneutem-%C3%B6ffnen-des-dialogs-nicht-mehr-funktionsf%C3%A4hig/

Fix the scroll offset when the first message is being targeted

See https://www.woltlab.com/community/thread/297814-mobil-zus%C3%A4tzlicher-container-sichtbar-bei-direktlink-auf-den-ersten-beitrag-eine/

Preload common phrases

Move the registration of preload phrases into a dedicated event listener

Provide only the plugin name when syncing pips

The full object provides little details because it is created on-the-fly with as little information as required.

Reset the phrase preload cache when syncing files and languages

Preload the phrase for relative timestamps

Fix the namespace and file name of the collecting event

Fix the condition to rebuild the phrase cache

Create the directory used for JS phrase preloads

Simplify the events by using constructor property promotion

Invert the order of the phrase preloader and the web component bundle

Replace the usage of `\gmdate()`

Add explicit markers to the preload cache files

Remove the previous service implementation

For some reason the `git mv` did not properly work.

Add the cache buster to the generated JS artifacts

Move the URL generation for the phrase preloader into the template

Move the URL handling of the phrase preloader into the bootstrap script

Restrict preload phrases to static exports only

Evaluating template scripting on runtime inside JavaScript is still possible, but not server-side replacements will be made.