Backport #5250 on v1.6: Fix Issue 5249 and protect /api/v1/admin routes with CSRF token (#5272)

* Add CSRF checking to reqToken and place CSRF in the post for deadline creation

Fixes #5226, #5249

* /api/v1/admin/users routes should have reqToken middleware

Backported wrong api request url for instances running in subfolders (#5247) (#5261)

fix: Accept web-command cli flags if web-command is commited (#5245)

* Added flags of default cmd CmdWeb to app-wide flags
* If command *is* specified app-wide flags are ignored

Backport of #5200
Signed-off-by: Berengar W. Lehr <Berengar.Lehr@kompetenztest.de>

This commit will reduce join star, repo_topic, topic tables on repo search, so that fix extra columns problem on mssql (#5136) (#5229)

* This commit will reduce join star, repo_topic, topic tables on repo search, so that fix extra columns problem on mssql

* fix tests

fix data race on migrate repository (#5224) (#5230)

fix: Add secret to all webhook's payload where it has been missing (#5208)

* Updated dependency manager via `dep ensure -update code.gitea.io/sdk`
* Gopkg.toml was not changed as sdk version is set to "master"
* affects webhooks for: Delete, Fork, IssueComment, Release
* also contains changes from go-gitea/go-sdk#125 and hence a swagger update

Signed-off-by: Berengar W. Lehr <Berengar.Lehr@kompetenztest.de>
Resolves: #4732, #5173

fix sqlite lock (#5210) (#5223)

Update go-macaron/session to latest mast to fix RCE-bug (#5195)

Fix race on updatesize (#5190) (#5215)

* fix race on updatesize

* fix more repoPath

fix to 3819 - Backport (#5219)

fix sqlite and mssql lock (#5214) (#5218)

Fix sqlite lock (#5176) (#5179)

* fix sqlite lock

* fix sqlite lock on getUnitType

Add comment replies (#5147)

*         Add comment replies

Signed-off-by: Jonas Franz <info@jonasfranz.software>
* Use review.ID instead

Signed-off-by: Jonas Franz <info@jonasfranz.software>

Fix SQL quoting (#5137)

`show` is keyword in MySQL and has to be quoted to reference a column name. Use grave accents (ASCII code 96) for quoting to match rest of the source code. It's non-standard SQL, but it's supported by SQLite and MySQL.

Signed-off-by: Filip Navara <navara@emclient.com>

Fix regex to support optional end line of old section in diff hunk (#5097)

+ Named groups in reges for easier group parsing

ZH-CN translation of Usage part (#5086)

[skip ci] Updated translations via Crowdin

Add change log for 1.6.0-rc1 (#5095)

* add change log for 1.6.0-rc1

* Fix some uppercases

[skip ci] Updated translations via Crowdin

ZH-CN translation of Advanced part (#5090)

Update process to include tag vX.Y.0-dev on master branch (#5091)

CN translation of README (#5050)

fix release creation via API (#5076)

* fix release creation via API

* fix release create tests

Fix dep for actual goth version used in dep lock file (#5078)

Fix golint to new URL (#5079)

Fixed spelling typos in CONTRIBUTING.md (#5061)

Add HOWTO for releasing Gitea (#5054)

* Add HOWTO for releasing Gitea

Used instructions from: https://github.com/go-gitea/gitea/pull/2609#issuecomment-352159155

* Update CONTRIBUTING.md

Backport 1.5.2 changelog (#5053)

Fix adding review comment in split view (#5038)

Remove links from topics in edit mode (#5026)

Fix missing AppSubUrl in few more templates (#5021)

Fix missing AppSubUrl in some templates (#5020)

Hide outdated comments in file view (#5017)

* Hide outdated comments in file view

Signed-off-by: Jonas Franz <info@jonasfranz.software>
* Add unit test by adding "invalidated" comment to fixtures

Signed-off-by: Jonas Franz <info@jonasfranz.software>

Fix a typo in app.ini.sample (#5015)

Add missing envionment vars for DB with Docker (#5007)

Current docs demonstrate how to configure a database container but don't
explicitly specify that you should add additional environment variables
to the Gitea container to make it use the database. This just
demonstrates the changes required.

Signed-off-by: Dane Elwell <dane.elwell@ukfast.co.uk>

README: update make command to build full release (#5004)

* update make command to build full release

* use quoted TAGS

`TAGS=bindata` => `TAGS="bindata"`

[skip ci] Updated translations via Crowdin

Upgrade gopkg.in/testfixtures.v2 (#4999)

[skip ci] Updated translations via Crowdin

Disable debug routes unless PPROF is enabled in configuration (#4995)

Fix #rrggbbaa color to rgba for better browser compatibility (#4990)

Detect charset and convert non UTF-8 files for display (#4950)

* Detect charset and convert non UTF-8 files for display

* Refactor and move function to correct module

* Revert unrelated changes

* More unrelated changes

* Duplicate content for small text to have better encoding detection

* Check if original content is valid before duplicating it

Fix layout of the topics editing form (#4971)

* Fix layout of the topic edit.

- made right-hand column wider so that it has enough space for "Done" button.

- fixed issue that jQuery's .show() breaks functionality of the Semantic UI Grid.

* Improve switching visibility of the topic edit

Changes to support old browsers that doesn't support 'flex' keyword.

- Removed style "display: none" from index.css so that
  the grid can be displayed without specifying new "display" style.

- Added style "display:none" to the grid element in HTML template
  as the initial style.

- In index.js, visibility of the grid element is changed by
  set "display:none" style to the element or removing it from the element.

make sure milestone listing is consistent across board (#4987)

Fix user menu item styling (#4985)

[skip ci] Updated translations via Crowdin

Adjust maintainers (#4979)

[skip ci] Updated translations via Crowdin

Fix preview when adding new code review comment (#4975)

Update Swagger API to match the return of /users/search (#4847)

Signed-off-by: Andrew Thornton <art27@cantab.net>

ADD: Hint to function of docker version tags (#4967)

I wasn't sure about how tags work, maybe this is interesting for people with less knowledge of docker.

Fix #4877 to follow the OpenID Connect Audiences spec (#4878)

Signed-off-by: Gabriel Robertson <overminddl1@gmail.com>

[skip ci] Updated translations via Crowdin

Fix null pointer dereference in ParseCommitWithSignature (#4962)

[skip ci] Updated translations via Crowdin

Fix interpunction in English translation. (#4958)

[skip ci] Updated translations via Crowdin

fix url in discord webhook (#4953)

opening issues generates a webhook to discord that contains
a url to the gitea api. the message title in discord is therefore
referencing to the api instead of the issue itself.

Code review UI improvements and bugfixes (#4682)

* Code review UI improvements

* More fixes to dark theme

* Style fix

* Fix to allow add code review comments only on review files tab

* More readability dark style fixes

* Fix commenting on deleted files. Fixes #4752

* Fix line blame getting for multiple corner cases

Fix some issues with special chars in branch names (#3767)

Signed-off-by: Robin Durner <github@nubenum.de>

make sure to catch the right error so it is displayed as an error on the ui not a 500 (#4945)

fix(topics): don't redirect to expole page. (#4938)

[skip ci] Updated translations via Crowdin

doc: add Cloudron package (#4937)

Fixes #4936

Allow admin toggle forcing a password change for newly created users (#4563)

fix bug forget to remove Stopwatch when remove repository (#4928)

Force user to change password (#4489)

* redirect to login page after successfully activating account

* force users to change password if account was created by an admin

* force users to change password if account was created by an admin

* fixed build

* fixed build

* fix pending issues with translation and wrong routes

* make sure path check is safe

* remove unneccessary newline

* make sure users that don't have to view the form get redirected

* move route to use /settings prefix so as to make sure unauthenticated users can't view the page

* update as per @lafriks review

* add necessary comment

* remove unrelated changes

* support redirecting to location the user actually want to go to before being forced to change his/her password

* run make fmt

* added tests

* improve assertions

* add assertion

* fix copyright year

Signed-off-by: Lanre Adelowo <yo@lanre.wtf>

Fix bug when repo remained bare if multiple branches pushed (#4923)

feat(repo): support search repository by topic name (#4505)

* feat(repo): support search repository by topic name

[skip ci] Updated translations via Crowdin

Add/remove/list oauth providers via cli (#4591)

Fix: Let's Encrypt configuration settings (#4911)

ENABLE_LETSENCRYPT and LETSENCRYPT_ACCEPTTOS were not being properly loaded from the config file, always resulting in the default settings being in place.

[skip ci] Updated translations via Crowdin

Remove zookeeper documentation (#4910)

Fix #3763

[skip ci] Updated translations via Crowdin

Remove traces of embedded TiDB (#4906)

Fix #3357

Add file name and branch to page title (#4902)

Enforce token on api routes [fixed critical security issue #4357] (#4840)

allow api to create tags for releases (#4890)

[skip ci] Updated translations via Crowdin

Slack webhook channel name cannot be empty or just contain an hashtag (#4786)

[skip ci] Updated translations via Crowdin

fix: Crippled diff (#4726) (#4900)

* fix: Crippled diff (#4726)

* Regenerate css

Move README_ZH.md Screenshots to Bottom (#4895)

- Move Screenshots to Bottom

[skip ci] Updated translations via Crowdin

Fixes repo branch endpoint summary (#4893)

in browser saw `/repos/{owner}/{repo}/branches/{branch} List a repository's branches` fixed

Addresses https://github.com/go-gitea/debian-packaging/pull/1

Fixes https://github.com/go-gitea/gitea#4892

Add sudo functionality to the API (#4809)

Extract header and footer content to separate tmpl (#4797)

This change makes it easier to customize the header and footer content. Before this change, the whole header and footer had to be overridden, including the meta, style and script tags.

Signed-off-by: Lukas Bestle <mail@lukasbestle.com>

Improve dependency UI (#4503)

Add push webhook support for mirrored repositories (#4127)

Fix redirect with non-ascii branch names (#4764) (#4810)

* Fix redirect with non-ascii branch names (#4764)

* Add integration tests for non-ascii branch redirect

* Fix mysql test and coverage test

offline use of fonts (#4872)

Do not autocreate directory for new user/orgs (#4828) (#4849)

docs(comparison): correct GitLab CE multiple assignees for issues (#4885)

GitLab CE doesn't support multiple assignees for issues.
That's an enterprise feature.  See: https://docs.gitlab.com/ee/user/project/issues/multiple_assignees_for_issues.html

Remove feature `global code search` from GitLab CE (#4875)

Punctuation changes in documentation (#4866)

update comparsion docs to add file viewer items (#4865)

Fix trimming of markup section names (#4863)

Signed-off-by: Nicolas Lenz <nicolas@eisfunke.com>

issues api allow pulls and fix #4832 (#4852)

Backport 1.5.1 changelog (#4854)