Core: Use Array.prototype.flat where supported

Calling `Array.prototype.concat.apply( [], inputArray )` to flatten `inputArray`
crashes for large arrays; using `Array.prototype.flat` avoids these issues in
browsers that support it. In case it's necessary to support these large arrays
even in older browsers, a polyfill for `Array.prototype.flat` can be loaded.
This is already being done by many applications.

Fixes gh-4320
Closes gh-4459

Selector: Use shallow document comparisons to avoid IE/Edge crashes

IE/Edge sometimes crash when comparing documents between frames using the strict
equality operator (`===` & `!==`). Funnily enough, shallow comparisons
(`==` & `!=`) work without crashing.

Fixes gh-4441
Closes gh-4471

Core: Remove private copies of push, sort & splice from the jQuery prototype

Closes gh-4473

Core: Implement .even() & .odd() to replace POS :even & :odd

`:even` & `:odd` are deprecated since jQuery 3.4.0 & will be removed in 4.0.0.
The new `even()` & `odd()` methods will make the migration easier.

Closes gh-4485

Deprecated: Fix AMD parameter order

Ref gh-4461

Selector: reduce size, simplify setDocument

With new selector code doing less convoluted support tests, it was possible
to extract a lot of logic out of setDocument & also reduce size.

This commit also backports jquery/sizzle#439 that was reverted by mistake
during a switch from JSHint + JSCS to ESLint.

Closes gh-4462
Ref jquery/sizzle#442
Ref jquery/sizzle#439

Ajax: Simplify jQuery.ajaxSettings.xhr

Previously, jQuery.ajaxSettings.xhr, contents were wrapped in a try-catch
as we defined jQuery.support.ajax & jQuery.support.cors executed during the
jQuery load and we didn't want to crash if IE had native XHR disabled (which
is possible). While jQuery hasn't supported the ActiveX-based XHR since 2.0,
jQuery with XHR disabled could still be used for its other features in such
a crippled browser.

Since gh-4347, jQuery.support.ajax & jQuery.support.cors no longer exist, so
we don't need the try-catch anymore.

Fixes gh-1967
Closes gh-4467
Ref gh-4347

Build: Remove the external directory, read from node_modules directly

Now that Sizzle is gone & we use npm, we can read from node_modules directly
and skip the setup that copies some files to the external directory.

Closes gh-4466

Core: Deprecate jQuery.trim

Fixes gh-4363
Closes gh-4461

Tests: Port changes from Sizzle

Ref https://github.com/jquery/sizzle/pull/450
Closes gh-4464

Selector: Leverage the :scope pseudo-class where possible

The `:scope` pseudo-class[1] has surprisingly good browser support: Chrome,
Firefox & Safari have supported if for a long time; only IE & Edge lack support.
This commit leverages this pseudo-class to get rid of the ID hack in most cases.
Adding a temporary ID may cause layout thrashing which was reported a few times
in [the past.

We can't completely eliminate the ID hack in modern browses as sibling selectors
require us to change context to the parent and then `:scope` stops applying to
what we'd like. But it'd still improve performance in the vast majority of
cases.

[1] https://developer.mozilla.org/en-US/docs/Web/CSS/:scope

Fixes gh-4453
Closes gh-4454
Ref gh-4332
Ref jquery/sizzle#405

Tests: Fix a comment in testinit.js

A copied comment line was accidentally left out above the line defining
`QUnit.jQuerySelectorsPos`, making the sentence nonsense. This commit removes
that line.

Closes gh-4458

Tests: update npo.js and include unminified source instead

Close gh-4446
Ref gh-4445

Selector: Bring back querySelectorAll shortcut usage

Due to a faulty IE 8 workaround removal, the fast path qSA mode was skipped
when jQuery's find was called on an element node - i.e. in most cases. 😱

Ref gh-4395
Closes gh-4452

Selector: Inline Sizzle into the selector module

This commit removes Sizzle from jQuery, inlining its code & removing obsolete
workarounds where applicable.

The selector-native module has been removed. Further work on the selector
module may decrease the size enough that it will no longer be necessary. If
it turns out it's still useful, we'll reinstate it but the code will look
different anyway as we'll want to share as much code as possible with
the existing selector module.

The Sizzle AUTHORS.txt file has been merged with the jQuery one - people are
sorted by their first contributions to either of the two repositories.

The commit reduces the gzipped jQuery size by 1460 bytes compared to master.

Closes gh-4395

Selector: Port Sizzle tests to jQuery

Apart from porting most Sizzle tests to jQuery (mostly to its selector module),
this commit fixes selector-native so that a jQuery custom compilation that
excludes Sizzle passes all tests as well.

Closes gh-4406

Build: ESLint: forbid unused function parameters

This commit requires all function parameters to be used, not just the last one.
In cases where that's not possible as we need to match an external API, there's
an escape hatch of prefixing an unused argument with `_`.

This change makes it easier to catch unused AMD dependencies and unused
parameters in internal functions the API of which we may change at will, among
other things.

Unused AMD dependencies have been removed as part of this commit.

Closes gh-4381

Build: Fix the regex parsing AMD var-modules (#4389)

The previous regex caused the final jQuery binary to have syntax errors for
var-modules with names starting with "return". For example, the following module
wouldn't work when the file is named `returnTrue.js`:

```js
define( function() {
"use strict";
return function returnTrue() {
return true;
};
} );
```

Closes gh-4389

Core: Remove IE-specific support tests, rely on document.documentMode

Also, update some tests to IE-sniff when deciding whether
to skip a test.

Fixes gh-4386
Closes gh-4387

Traversing: Fix `contents()` on `<object>`s with children in IE

The original fix didn't account for the fact that in IE `<object>` elements
with no `data` attribute have an object `contentDocument`. The fix leverages
the fact that this special object has a null prototype.

Closes gh-4390
Ref gh-4384
Ref gh-4385

Traversing: Fix `contents()` on `<object>`s with children

Fixes gh-4384
Closes gh-4385

Effect: Fix a unnecessary conditional statement in .stop()

Because of the above conditional, the 'type' variable has a value of type
'string' or undefined. Therefore, boolean comparisons for 'type' variable
is always unnecessary because it return true. The patch removed the
unnecessary conditional statement.

Fixes gh-4374
Closes gh-4375

Build: Fix AMD dependencies in curCSS

A leftover `rboxStyle` was left in the wrapper parameters but not in the
dependency array, causing `getStyles` to be undefined in AMD mode.

Since `rboxStyle` is no longer used, it's now removed.

Ref gh-4347
Closes gh-4380

Core: Drop support for IE <11, iOS <11, Firefox <65, Android Browser & PhantomJS

Also, update support comments format to match format described in:
https://github.com/jquery/contribute.jquery.org/issues/95#issuecomment-69379197
with the change from:
https://github.com/jquery/contribute.jquery.org/issues/95#issuecomment-448998379
(open-ended ranges end with `+`).

Fixes gh-3950
Fixes gh-4299
Closes gh-4347

Tests: Restrict an event test fallback to TestSwarm

Closes gh-4357

Core: Remove deprecated jQuery APIs

Fixes gh-4056
Closes gh-4364

Tests: Fix the new focusin/focusout test in IE

In IE, focus & blur events fire asynchronously, the test now accounts for that.

Ref gh-4362

Event: Stop shimming focusin & focusout events

Latest versions of all browsers now implement focusin & focusout natively
and they all converged on a common event order so it doesn't make much sense
for us to normalize it to a different order anymore.

Note that it means we no longer guarantee that focusin fires before focus
and focusout before blur.

Fixes gh-4300
Closes gh-4362

Data: Separate data & css/effects camelCase implementations

The camelCase implementation used by the data module no longer turns `-ms-foo`
into `msFoo` but to `MsFoo` now. This is because `data` is supposed to be
a generic utility not specifically bound to CSS use cases.

Fixes gh-3355
Closes gh-4365

Event: Prevent leverageNative from registering duplicate dummy handlers

(cherry-picked from 6c1e7dbf7311ae7c0c31ba335fe216185047ae5f)

Closes gh-4353

Event: Fix handling of multiple async focus events

(cherry-picked from 24d71ac70406f522fc1b09bf7c4025251ec3aee6)

Fixes gh-4350
Closes gh-4354

Build: Test on Node.js 12, stop testing on Node.js 6 & 11

Closes gh-4369

Build: Fix unresolved jQuery reference in finalPropName

Also, prevent further similar breakages by changing our ESLint configuration
to disallow relying on a global jQuery object in AMD modules.

Fixes gh-4358
Closes gh-4361

Release: update AUTHORS.txt

Build: Update Sizzle from 2.3.3 to 2.3.4

Fixes gh-1756
Fixes gh-4170
Fixes gh-4249
Closes gh-4345

CSS: Don't automatically add "px" to properties with a few exceptions

Fixes gh-2795
Closes gh-4055
Ref gh-4009

Build: Update the master version to 4.0.0-pre

Tests: Fix the core-js polyfill inclusion method

core-js 3 no longer includes a built file in the bundle but core-js-bundle
does.

Closes gh-4342
Ref gh-4341

Build: Update Sinon from 2.3.7 to 7.3.1, other updates

Closes gh-4341

Update README.md

Tests: Make Android Browser 4.0-4.3 dimensions tests green

Android Browser disregards td's box-sizing, treating it like it was content-box.
Unlike in IE, offsetHeight shares the same issue so there's no easy way to
workaround the issue without incurring high size penalty. Let's at least check
we get the size as the browser sees it.

Also, fix the nearby support comment syntax.

Closes gh-4335

Tests: Make Android Browser 4.0-4.3 AJAX tests green

Android Browser versions provided by BrowserStack fail the "prototype collision
(constructor)" test while locally fired emulators don't, even when they connect
to TestSwarm. Just skip the test there to avoid a red build.

Closes gh-4334

Core: Preserve CSP nonce on scripts with src attribute in DOM manipulation

Fixes gh-4323
Closes gh-4328

Event: Prevent leverageNative from double-firing focusin

Also, reduce size.

Closes gh-4329
Ref gh-4279

Core: Prevent Object.prototype pollution for $.extend( true, ... )

Closes gh-4333

Event: Leverage native events for focus/blur/click; propagate additional data

Summary of the changes/fixes:
1. Trigger checkbox and radio click events identically (cherry-picked from
   b442abacbb8464f0165059e8da734e3143d0721f that was reverted before).
2. Manually trigger a native event before checkbox/radio handlers.
3. Add test coverage for triggering namespaced native-backed events.
4. Propagate extra parameters passed when triggering the click event to
   the handlers.
5. Intercept and preserve namespaced native-backed events.
6. Leverage native events for focus and blur.
7. Accept that focusin handlers may fire more than once for now.

Fixes gh-1741
Fixes gh-3423
Fixes gh-3751
Fixes gh-4139
Closes gh-4279
Ref gh-1367
Ref gh-3494

CSS: Avoid forcing a reflow in width/height getters unless necessary

Fixes gh-4322
Closes gh-4325
Ref gh-3991
Ref gh-4010
Ref gh-4185
Ref gh-4187

Build: Run the basic test suite in jsdom

The basic test suite is now run in jsdom on all supported Node.js versions
(8, 10 & 11 as of now).

Closes gh-4310

Build: Remove manual QUnit fixture resetting

It was needed when QUnit 1.x one used but we've since upgraded to QUnit 2.x.

Closes gh-4312
Ref gh-4307

Build: Make Promises/A+ tests use the dot reporter instead of the default

The default reporter is very verbose as it prints all the test names it
encounters. We already use the dot reporter for Karma tests.

Closes gh-4313

Build: Update QUnit from 1.23.1 to 2.9.2

Closes gh-4307

Build: Run Karma browser tests on Node.js 10 instead of 8

Node.js 10 has been in Active LTS since 2018-04-24 and Node.js 8 is now in
maintenance mode.

See https://github.com/nodejs/Release for more details.

Closes gh-4311

Build: Update jsdom; migrate a test with Symbol polyfill to an iframe test

So far, we've been testing that jQuery element iteration works with polyfilled
Symbol & transpiled for-of via a Node test with jsdom with the Symbol global
removed. Unfortunately, jsdom now requires Symbol to be present for its internal
functionality so such a test is no longer possible. Instead, it's been migrated
to an iframe test with transpiled JavaScript.

This PR also enables us to use ECMAScript 2017 or newer in Node.js code.

Closes gh-4305

Build: Remove obsolete globals from ESLint configuration

We had quite a few obsolete globals declared in various ESLint config files. We also no longer allow to rely on the `noGlobal` & `jQuery` globals in the built file which is not needed.

Closes gh-4301

Build: Update most dependencies

The only packages not fully updated are:
- qunitjs & karma-qunit as that's a QUnit 2.x update that will require some
changes and we'll do that later
- jsdom as we need to first rewrite the test with the Symbol polyfill - newer
jsdom versions don't work with such a hacked Symbol instance
- sinon as the v2 -> v7 upgrade requires to update our unit tests
- uglify-js & grunt-contrib-uglify as latest uglify-js versions slightly worsen
the minified gzipped size

Closes gh-4227
Closes gh-4228
Closes gh-4230
Closes gh-4232

Build: Update test code for compatibility with QUnit 2.x (#4297)

Also, run `grunt npmcopy` to sync the "external" directory with dependencies
from package.json. For example, the Sinon library version didn't match.

Ref gh-4234
Closes gh-4297

Build: Advise to create test cases on JS Bin or CodePen, drop JSFiddle

JSFiddle doesn't support IE (even 11) anymore so we shouldn't advise users
to use it to create test cases. To make people have a choice, add CodePen
to the list.

Also, link to specific starter templates so that novices don't need to spend
time thinking how to set up the basic structure.

Closes gh-4289

Core: Support passing nonce through jQuery.globalEval

Fixes gh-4278
Closes gh-4280
Ref gh-3541
Ref gh-4269

Manipulation: Respect script nomodule attribute in DOM manipulation

PR #3869 added support for `<script type="module">` & some support for
the `nomodule` attribute but with no tests for `nomodule` and with the
attribute only respected on inline scripts. This commit adds support for
source-based scripts as well. It also adds tests for `nomodule`, including
making sure legacy browsers execute such scripts as they'd natively do - that's
the whole point of `nomodule` scripts, after all.

Fixes gh-4281
Closes gh-4282
Ref gh-3871
Ref gh-3869

Tests: Skip nonce tests in old iOS/Android as well

Old iOS & Android Browser versions support script-src but not nonce, making the
nonce test impossible to run. Browsers not supporting CSP at all are not
a problem as they'll skip script-src restrictions completely.

Ref gh-3541
Ref gh-4269
Ref c7c2855ed13f23322c4064407c1ed84561b95738

Core: Preserve CSP nonce on scripts in DOM manipulation

Fixes gh-3541
Closes gh-4269

Tests: Exclude Android 4.x from repeated header names test

Android Browser only returns the last value for each header so there's no way
for jQuery get all parts.

Closes gh-4259
Ref gh-3403
Ref gh-4173

Manipulation: Restore _evalUrl jQuery.ajax calls to dataType: script

IE and iOS <10 XHR transport does not succeed on data: URIs
Ref gh-4243
Ref gh-4126
Closes gh-4258

Manipulation: Only evaluate HTTP-successful script src

Fixes gh-4126
Closes gh-4243

Core: Tiny efficiency fix to jQuery.extend / jQuery.fn.extend (#4246)

Read target[name] only when it's needed.

In addition to doing the property read-only when needed, this
avoids a slow path in V8 (see the issue for more details).

Fixes gh-4245
Closes gh-4246

Tests: fix dimensions tests in testswarm

Close gh-4248

Dimensions: fall back to offsetWidth/Height for border-box in IE

- Use getClientRects() to explicitly detect hidden/disconnected
  elements

Close gh-4223
Fixes gh-4102

Tests: add IE launcher for debugging IE11 on Windows

Tests: fix ajax test failure; add to header instead of replace

Ajax: Fix getResponseHeader(key) for IE11

- getResponseHeader(key) combines all header values for the provided key into a
single result where values are concatenated by ', '. This does not happen for
IE11 since multiple values for the same header are returned on separate lines.
This makes the function only return the last value of the header for IE11.
- Updated ajax headers test to better cover Object.prototype collisions

Close gh-4173
Fixes gh-3403

Tests: Add Safari 12 & iOS 12 results

Tests: Move latest Firefox before Firefox 60 test results

Core: Recognize Shadow DOM in attachment checks

Allow `isAttached` to check Shadow DOM for attachment.

Fixes gh-3504
Closes gh-3996
Ref gh-3977

Build: Run tests on Node.js 11 as well

CSS: Don't read styles.position in the width/height cssHook unless necessary

Current width/height cssHook reads the computed position style even if not
necessary as the browser passes the scrollboxSize support test. That has been
changed.

This commit also makes the scrollboxSize support test in line with all others
(i.e. only return true or false) and changes the variable name in the hook
to make the code clearer.

Fixes gh-4185
Closes gh-4187

Tests: Add tests for not auto-appending "px" to CSS Grid properties

Ref gh-4007
Ref gh-4028
Closes gh-4165

Tests: Allow Karma to load unminfied source

Closes gh-4128

CSS: Don't auto-append "px" to possibly-unitless CSS grid properties

This commit adds some CSS grid-related properties to jQuery.cssNumber.

Fixes gh-4007

Tests: use width style instead of SVG width attribute (#4157)

The SVG width attribute seems to not support border-box in iOS7.

Closes gh-4155

Tests: Account for the iPad with iOS 11.3 user agent

The user agent of the iPad with iOS 11.3 on BrowserStack is missing the "iPhone"
part in the "iPhone OS 11_3" part. This commit makes the iOS regex accept such
(probably?) malformed UAs.

Tests: Skip module tests in Edge

Edge sometimes doesn't execute module scripts. It needs to be investigated why
but for now, we're skipping the test to make our tests more stable.

Closes gh-4140

Tests: Make support tests pass in Firefox 52

jQuery Core now supports Firefox ESR.

Docs: add gitter badge to README.md

Close gh-4138

 Manipulation: Properly detect HTML elements with single-character names

Fixes gh-4124
Closes gh-4125

Tests: Add support test results for Firefox 61+

Firefox 61 now passes the reliableMarginLeft test.

Closes gh-4122

Dimensions: fix computing outerWidth on SVGs

Fixes gh-3964
Closes gh-4096

Serialize: jQuery.param: return empty string when given null/undefined

Fixes gh-2633
Close gh-4108

Update node dependencies (sans jsdom, qunit, and sinon)

Close gh-4098

Build: Remove unnecessary ESLint exception

The linked-to issue was fixed 2 years ago.

Closes gh-4095

Test: enable a spec testing CSS whitespace preserving in Edge 17

In Edge 14-16 setting a style property to a whitespace-only value resets it to
the default, forcing us to skip a relevant CSS test in Edge. Now that Edge 17
has fixed the issue we can re-enable this test there.

Ref gh-3204
Closes gh-4101

Misc: Add config for lockbot

CSS: Don't auto-append "px" to CSS variables (#4064)

Fixes gh-4063
Closes gh-4064

README: Add FOSSA license scan status badge

squash! Set attributes all at once, src last

Ajax: Allow custom attributes when script transport is used

Fixes gh-3028
Ref gh-2612

Useful, for example, to add `nonce`, `integrity`, or `crossorigin`.

Misc: Update license prolog/epilog to placate Github checker

Traversing: $.fn.contents() support for object

Fixes gh-4045
Closes gh-4046

CSS: Correctly detect scrollbox support with non-default zoom

Fixes gh-4029
Closes gh-4030

CSS: Ensure camel- vs kebab-cased names are not collapsed for CSS vars

Closes gh-4062

CSS: Skip the px-appending logic for animations of non-element props

Without this change animating properties from jQuery.cssNumber on non-elements
throws an error.

Ref gh-4055
Closes gh-4061