Core: Use Array.prototype.flat where supported

Calling `Array.prototype.concat.apply( [], inputArray )` to flatten `inputArray`
crashes for large arrays; using `Array.prototype.flat` avoids these issues in
browsers that support it. In case it's necessary to support these large arrays
even in older browsers, a polyfill for `Array.prototype.flat` can be loaded.
This is already being done by many applications.

(cherry picked from 9df4f1de12728b44a4b0f91748f12421008d9079)

Fixes gh-4320
Closes gh-4459

Build: Update the version to 3.5.0-pre

Core: Implement .even() & .odd() to replace POS :even & :odd

`:even` & `:odd` are deprecated since jQuery 3.4.0 & will be removed in 4.0.0.
The new `even()` & `odd()` methods will make the migration easier.

Closes gh-4485

(cherry picked from commit 78420d427cf3734d9264405fcbe08b76be182a95)

Tests: Fix offset fractions tests in Chrome for Android

This commit backports a looser assertion from `master` where the browsers passes
offset tests.

Closes gh-4470

Tests: Move Android user agent detection above iOS, put Safari last

Android was catching the generic iOS regex. Checking for Android first should
eliminate that issue as iOS user agents don't contain the word "Android".
Putting Safari last makes Android UAs not be tested against it.

Tests: Make support tests accept Safari 13 & newer

The regexes detecting browsers with their versions have been updated for iOS
and Safari so that all iOS >=11 & all Safari (desktop) >= 11 are recognized.
This is required to make Safari 13 & iOS 13 pass support tests but it'll also
make tests forward-compatible with future Safari/iOS versions.

Closes gh-4488

Tests: update npo.js and include unminified source instead

Close gh-4446
Ref gh-4445

Selector: Make selector-native's isXMLDoc recognize HTML-embedded SVG

This commit also backports some jQuery.isXMLDoc tests from master so that this
behavior doesn't regress.

(partially cherry-picked from 79b74e043a4ee737d44a95094ff1184e40bd5b16)

Closes gh-4438
Ref jquery/sizzle#378
Ref jquery/sizzle#436

Traversing: Fix `contents()` on `<object>`s with children in IE

The original fix didn't account for the fact that in IE `<object>` elements
with no `data` attribute have an object `contentDocument`. The fix leverages
the fact that this special object has a null prototype.

(cherry-picked from ccbd6b93424cbdbf86f07a86c2e55cbab497d7a3)

Closes gh-4390
Ref gh-4384
Ref gh-4385

Traversing: Fix `contents()` on `<object>`s with children

(cherry-picked from 4d865d96aa5aae91823c50020b5c19da79566811)

Fixes gh-4384
Closes gh-4385

Build: Updating the 3.4-stable version to 3.4.2-pre.

Core: Make isAttached work with iOS 10.0-10.2

The test for Shadow DOM v1 support has been changed to rely on the presence of
`documentElement.getRootNode` as iOS 10.0-10.2 supports `attachShadow` but
doesn't support `getRootNode`.

No new test is necessary - iOS 10.0 fails lots of our test suite because of
this bug.

Fixes gh-4356
Closes gh-4360

Event: Prevent leverageNative from registering duplicate dummy handlers

Closes gh-4353

Event: Fix handling of multiple async focus events

Fixes gh-4350
Closes gh-4354

Build: Test on Node.js 12, stop testing on Node.js 6 & 11

(cherry-picked from b8d4712825a26a7f24c2bdb5a71aa3abcd345dfd)

Closes gh-4369

Build: Fix unresolved jQuery reference in finalPropName

Also, prevent further similar breakages by changing our ESLint configuration
to disallow relying on a global jQuery object in AMD modules.

(cherry-picked from 874030583c9b94603de467124420e6c7a1c3c8ac)

Fixes gh-4358
Closes gh-4361

Build: Updating the 3.4-stable version to 3.4.1-pre

Release: update AUTHORS.txt

Release: update version to 3.4.0-pre

Build: Update Sizzle from 2.3.3 to 2.3.4

(cherry-picked from 0b2c36adb4e2c048318659e4196e0925da10ead2)

Fixes gh-1756
Fixes gh-4170
Fixes gh-4249
Closes gh-4345

Update README.md

Tests: Make Android Browser 4.0-4.3 dimensions tests green

Android Browser disregards td's box-sizing, treating it like it was content-box.
Unlike in IE, offsetHeight shares the same issue so there's no easy way to
workaround the issue without incurring high size penalty. Let's at least check
we get the size as the browser sees it.

Also, fix the nearby support comment syntax.

Closes gh-4335

Tests: Make Android Browser 4.0-4.3 AJAX tests green

Android Browser versions provided by BrowserStack fail the "prototype collision
(constructor)" test while locally fired emulators don't, even when they connect
to TestSwarm. Just skip the test there to avoid a red build.

Closes gh-4334

Core: Preserve CSP nonce on scripts with src attribute in DOM manipulation

Fixes gh-4323
Closes gh-4328

Event: Prevent leverageNative from double-firing focusin

Also, reduce size.

Closes gh-4329
Ref gh-4279

Core: Prevent Object.prototype pollution for $.extend( true, ... )

Closes gh-4333

Event: Leverage native events for focus/blur/click; propagate additional data

Summary of the changes/fixes:
1. Trigger checkbox and radio click events identically (cherry-picked from
   b442abacbb8464f0165059e8da734e3143d0721f that was reverted before).
2. Manually trigger a native event before checkbox/radio handlers.
3. Add test coverage for triggering namespaced native-backed events.
4. Propagate extra parameters passed when triggering the click event to
   the handlers.
5. Intercept and preserve namespaced native-backed events.
6. Leverage native events for focus and blur.
7. Accept that focusin handlers may fire more than once for now.

Fixes gh-1741
Fixes gh-3423
Fixes gh-3751
Fixes gh-4139
Closes gh-4279
Ref gh-1367
Ref gh-3494

CSS: Avoid forcing a reflow in width/height getters unless necessary

Fixes gh-4322
Closes gh-4325
Ref gh-3991
Ref gh-4010
Ref gh-4185
Ref gh-4187

Build: Run the basic test suite in jsdom

The basic test suite is now run in jsdom on all supported Node.js versions
(8, 10 & 11 as of now).

Closes gh-4310

Build: Remove manual QUnit fixture resetting

It was needed when QUnit 1.x one used but we've since upgraded to QUnit 2.x.

Closes gh-4312
Ref gh-4307

Build: Make Promises/A+ tests use the dot reporter instead of the default

The default reporter is very verbose as it prints all the test names it
encounters. We already use the dot reporter for Karma tests.

Closes gh-4313

Build: Update QUnit from 1.23.1 to 2.9.2

Closes gh-4307

Build: Run Karma browser tests on Node.js 10 instead of 8

Node.js 10 has been in Active LTS since 2018-04-24 and Node.js 8 is now in
maintenance mode.

See https://github.com/nodejs/Release for more details.

Closes gh-4311

Build: Update jsdom; migrate a test with Symbol polyfill to an iframe test

So far, we've been testing that jQuery element iteration works with polyfilled
Symbol & transpiled for-of via a Node test with jsdom with the Symbol global
removed. Unfortunately, jsdom now requires Symbol to be present for its internal
functionality so such a test is no longer possible. Instead, it's been migrated
to an iframe test with transpiled JavaScript.

This PR also enables us to use ECMAScript 2017 or newer in Node.js code.

Closes gh-4305

Build: Remove obsolete globals from ESLint configuration

We had quite a few obsolete globals declared in various ESLint config files. We also no longer allow to rely on the `noGlobal` & `jQuery` globals in the built file which is not needed.

Closes gh-4301

Build: Update most dependencies

The only packages not fully updated are:
- qunitjs & karma-qunit as that's a QUnit 2.x update that will require some
changes and we'll do that later
- jsdom as we need to first rewrite the test with the Symbol polyfill - newer
jsdom versions don't work with such a hacked Symbol instance
- sinon as the v2 -> v7 upgrade requires to update our unit tests
- uglify-js & grunt-contrib-uglify as latest uglify-js versions slightly worsen
the minified gzipped size

Closes gh-4227
Closes gh-4228
Closes gh-4230
Closes gh-4232

Build: Update test code for compatibility with QUnit 2.x (#4297)

Also, run `grunt npmcopy` to sync the "external" directory with dependencies
from package.json. For example, the Sinon library version didn't match.

Ref gh-4234
Closes gh-4297

Build: Advise to create test cases on JS Bin or CodePen, drop JSFiddle

JSFiddle doesn't support IE (even 11) anymore so we shouldn't advise users
to use it to create test cases. To make people have a choice, add CodePen
to the list.

Also, link to specific starter templates so that novices don't need to spend
time thinking how to set up the basic structure.

Closes gh-4289

Core: Support passing nonce through jQuery.globalEval

Fixes gh-4278
Closes gh-4280
Ref gh-3541
Ref gh-4269

Manipulation: Respect script nomodule attribute in DOM manipulation

PR #3869 added support for `<script type="module">` & some support for
the `nomodule` attribute but with no tests for `nomodule` and with the
attribute only respected on inline scripts. This commit adds support for
source-based scripts as well. It also adds tests for `nomodule`, including
making sure legacy browsers execute such scripts as they'd natively do - that's
the whole point of `nomodule` scripts, after all.

Fixes gh-4281
Closes gh-4282
Ref gh-3871
Ref gh-3869

Tests: Skip nonce tests in old iOS/Android as well

Old iOS & Android Browser versions support script-src but not nonce, making the
nonce test impossible to run. Browsers not supporting CSP at all are not
a problem as they'll skip script-src restrictions completely.

Ref gh-3541
Ref gh-4269
Ref c7c2855ed13f23322c4064407c1ed84561b95738

Core: Preserve CSP nonce on scripts in DOM manipulation

Fixes gh-3541
Closes gh-4269

Tests: Exclude Android 4.x from repeated header names test

Android Browser only returns the last value for each header so there's no way
for jQuery get all parts.

Closes gh-4259
Ref gh-3403
Ref gh-4173

Manipulation: Restore _evalUrl jQuery.ajax calls to dataType: script

IE and iOS <10 XHR transport does not succeed on data: URIs
Ref gh-4243
Ref gh-4126
Closes gh-4258

Manipulation: Only evaluate HTTP-successful script src

Fixes gh-4126
Closes gh-4243

Core: Tiny efficiency fix to jQuery.extend / jQuery.fn.extend (#4246)

Read target[name] only when it's needed.

In addition to doing the property read-only when needed, this
avoids a slow path in V8 (see the issue for more details).

Fixes gh-4245
Closes gh-4246

Tests: fix dimensions tests in testswarm

Close gh-4248

Dimensions: fall back to offsetWidth/Height for border-box in IE

- Use getClientRects() to explicitly detect hidden/disconnected
  elements

Close gh-4223
Fixes gh-4102

Tests: add IE launcher for debugging IE11 on Windows

Tests: fix ajax test failure; add to header instead of replace

Ajax: Fix getResponseHeader(key) for IE11

- getResponseHeader(key) combines all header values for the provided key into a
single result where values are concatenated by ', '. This does not happen for
IE11 since multiple values for the same header are returned on separate lines.
This makes the function only return the last value of the header for IE11.
- Updated ajax headers test to better cover Object.prototype collisions

Close gh-4173
Fixes gh-3403

Tests: Add Safari 12 & iOS 12 results

Tests: Move latest Firefox before Firefox 60 test results

Core: Recognize Shadow DOM in attachment checks

Allow `isAttached` to check Shadow DOM for attachment.

Fixes gh-3504
Closes gh-3996
Ref gh-3977

Build: Run tests on Node.js 11 as well

CSS: Don't read styles.position in the width/height cssHook unless necessary

Current width/height cssHook reads the computed position style even if not
necessary as the browser passes the scrollboxSize support test. That has been
changed.

This commit also makes the scrollboxSize support test in line with all others
(i.e. only return true or false) and changes the variable name in the hook
to make the code clearer.

Fixes gh-4185
Closes gh-4187

Tests: Add tests for not auto-appending "px" to CSS Grid properties

Ref gh-4007
Ref gh-4028
Closes gh-4165

Tests: Allow Karma to load unminfied source

Closes gh-4128

CSS: Don't auto-append "px" to possibly-unitless CSS grid properties

This commit adds some CSS grid-related properties to jQuery.cssNumber.

Fixes gh-4007

Tests: use width style instead of SVG width attribute (#4157)

The SVG width attribute seems to not support border-box in iOS7.

Closes gh-4155

Tests: Account for the iPad with iOS 11.3 user agent

The user agent of the iPad with iOS 11.3 on BrowserStack is missing the "iPhone"
part in the "iPhone OS 11_3" part. This commit makes the iOS regex accept such
(probably?) malformed UAs.

Tests: Skip module tests in Edge

Edge sometimes doesn't execute module scripts. It needs to be investigated why
but for now, we're skipping the test to make our tests more stable.

Closes gh-4140

Tests: Make support tests pass in Firefox 52

jQuery Core now supports Firefox ESR.

Docs: add gitter badge to README.md

Close gh-4138

 Manipulation: Properly detect HTML elements with single-character names

Fixes gh-4124
Closes gh-4125

Tests: Add support test results for Firefox 61+

Firefox 61 now passes the reliableMarginLeft test.

Closes gh-4122

Dimensions: fix computing outerWidth on SVGs

Fixes gh-3964
Closes gh-4096

Serialize: jQuery.param: return empty string when given null/undefined

Fixes gh-2633
Close gh-4108

Update node dependencies (sans jsdom, qunit, and sinon)

Close gh-4098

Build: Remove unnecessary ESLint exception

The linked-to issue was fixed 2 years ago.

Closes gh-4095

Test: enable a spec testing CSS whitespace preserving in Edge 17

In Edge 14-16 setting a style property to a whitespace-only value resets it to
the default, forcing us to skip a relevant CSS test in Edge. Now that Edge 17
has fixed the issue we can re-enable this test there.

Ref gh-3204
Closes gh-4101

Misc: Add config for lockbot

CSS: Don't auto-append "px" to CSS variables (#4064)

Fixes gh-4063
Closes gh-4064

README: Add FOSSA license scan status badge

squash! Set attributes all at once, src last

Ajax: Allow custom attributes when script transport is used

Fixes gh-3028
Ref gh-2612

Useful, for example, to add `nonce`, `integrity`, or `crossorigin`.

Misc: Update license prolog/epilog to placate Github checker

Traversing: $.fn.contents() support for object

Fixes gh-4045
Closes gh-4046

CSS: Correctly detect scrollbox support with non-default zoom

Fixes gh-4029
Closes gh-4030

CSS: Ensure camel- vs kebab-cased names are not collapsed for CSS vars

Closes gh-4062

CSS: Skip the px-appending logic for animations of non-element props

Without this change animating properties from jQuery.cssNumber on non-elements
throws an error.

Ref gh-4055
Closes gh-4061

Build: Test on Node 10, stop testing on Node 4 & 9

Node.js 4 & 9 are ending their life, Node.js 10 has just been released.

Closes gh-4057

Tests: ensure support tests are failed by at least one tested browser

A whitelist is available so that some tests can be allowed to always succeed.
This is used only for ajax for now as it can be manually disabled in IE but
is enabled by default.

Closes gh-4052

Event: Add "code" property to Event object

Fixes gh-3978
Closes gh-3998

Dimensions: avoid fetching boxSizing when setting width/height
- this avoids forcing a reflow in some cases

Fixes #3991

CSS: Avoid filling jQuery.cssProps

Fixes gh-3986
Closes gh-4005

Avoids filling jQuery.cssProps by introducing a second internal
prop cache. This allows jQuery Migrate to detect external usage.

Build: Don't require sudo on Travis, use sandboxless headless Chrome

The Chrome sandbox doesn't work on Travis unless sudo is enabled. Instead,
we're disabling the Chrome sandbox.

Closes gh-4011

Build: remove artefact from previous commit

Follow-up for 09684ba3f210594e41ecddf369ac94c688d53ccb

Core: Use isAttached to check for attachment of element

This change replaces the use of contains to check for attachment
by isAttached function

Closes gh-3977
Ref gh-3504

Build: Seasonal update of uglify and its options

raw     gz Compared to last run
 =      = dist/jquery.js
-294    -88 dist/jquery.min.js

Closes gh-3994

Tests: Fix Android 4.0 Deferred tests

Closes gh-3967

Tests: Disable native abort test in Android 4.0

The test works on its own when checked manually but mysteriously fails in
TestSwarm only in Android 4.0. Let's just disable it there.

Closes gh-3968

Build: Updating the master version to 3.3.2-pre.

Build: Updating the master version to 3.3.1-pre.

Release: update version to 3.3.0-pre

Release: add new authors to AUTHORS.txt

Tests: skip test with invalid selector for selector-native tests

Build: Add "-debug" suffix to name of karma debug tasks

Ref gh-3922
Close gh-3936

Filter: Use direct filter in winnow

for both simple and complex selectors

Fixes gh-3272
Closes gh-3910

Tests: ensure that module assertions run on supported browsers

- Also fixes tests for karma, where the URL for the module is different

Ref gh-3871