Manipulation: Respect script nomodule attribute in DOM manipulation

PR #3869 added support for `<script type="module">` & some support for
the `nomodule` attribute but with no tests for `nomodule` and with the
attribute only respected on inline scripts. This commit adds support for
source-based scripts as well. It also adds tests for `nomodule`, including
making sure legacy browsers execute such scripts as they'd natively do - that's
the whole point of `nomodule` scripts, after all.

Fixes gh-4281
Closes gh-4282
Ref gh-3871
Ref gh-3869

Tests: Skip nonce tests in old iOS/Android as well

Old iOS & Android Browser versions support script-src but not nonce, making the
nonce test impossible to run. Browsers not supporting CSP at all are not
a problem as they'll skip script-src restrictions completely.

Ref gh-3541
Ref gh-4269
Ref c7c2855ed13f23322c4064407c1ed84561b95738

Core: Preserve CSP nonce on scripts in DOM manipulation

Fixes gh-3541
Closes gh-4269

Tests: Exclude Android 4.x from repeated header names test

Android Browser only returns the last value for each header so there's no way
for jQuery get all parts.

Closes gh-4259
Ref gh-3403
Ref gh-4173

Manipulation: Restore _evalUrl jQuery.ajax calls to dataType: script

IE and iOS <10 XHR transport does not succeed on data: URIs
Ref gh-4243
Ref gh-4126
Closes gh-4258

Manipulation: Only evaluate HTTP-successful script src

Fixes gh-4126
Closes gh-4243

Core: Tiny efficiency fix to jQuery.extend / jQuery.fn.extend (#4246)

Read target[name] only when it's needed.

In addition to doing the property read-only when needed, this
avoids a slow path in V8 (see the issue for more details).

Fixes gh-4245
Closes gh-4246

Tests: fix dimensions tests in testswarm

Close gh-4248

Dimensions: fall back to offsetWidth/Height for border-box in IE

- Use getClientRects() to explicitly detect hidden/disconnected
  elements

Close gh-4223
Fixes gh-4102

Tests: add IE launcher for debugging IE11 on Windows

Tests: fix ajax test failure; add to header instead of replace

Ajax: Fix getResponseHeader(key) for IE11

- getResponseHeader(key) combines all header values for the provided key into a
single result where values are concatenated by ', '. This does not happen for
IE11 since multiple values for the same header are returned on separate lines.
This makes the function only return the last value of the header for IE11.
- Updated ajax headers test to better cover Object.prototype collisions

Close gh-4173
Fixes gh-3403

Tests: Add Safari 12 & iOS 12 results

Tests: Move latest Firefox before Firefox 60 test results

Core: Recognize Shadow DOM in attachment checks

Allow `isAttached` to check Shadow DOM for attachment.

Fixes gh-3504
Closes gh-3996
Ref gh-3977

Build: Run tests on Node.js 11 as well

CSS: Don't read styles.position in the width/height cssHook unless necessary

Current width/height cssHook reads the computed position style even if not
necessary as the browser passes the scrollboxSize support test. That has been
changed.

This commit also makes the scrollboxSize support test in line with all others
(i.e. only return true or false) and changes the variable name in the hook
to make the code clearer.

Fixes gh-4185
Closes gh-4187

Tests: Add tests for not auto-appending "px" to CSS Grid properties

Ref gh-4007
Ref gh-4028
Closes gh-4165

Tests: Allow Karma to load unminfied source

Closes gh-4128

CSS: Don't auto-append "px" to possibly-unitless CSS grid properties

This commit adds some CSS grid-related properties to jQuery.cssNumber.

Fixes gh-4007

Tests: use width style instead of SVG width attribute (#4157)

The SVG width attribute seems to not support border-box in iOS7.

Closes gh-4155

Tests: Account for the iPad with iOS 11.3 user agent

The user agent of the iPad with iOS 11.3 on BrowserStack is missing the "iPhone"
part in the "iPhone OS 11_3" part. This commit makes the iOS regex accept such
(probably?) malformed UAs.

Tests: Skip module tests in Edge

Edge sometimes doesn't execute module scripts. It needs to be investigated why
but for now, we're skipping the test to make our tests more stable.

Closes gh-4140

Tests: Make support tests pass in Firefox 52

jQuery Core now supports Firefox ESR.

Docs: add gitter badge to README.md

Close gh-4138

 Manipulation: Properly detect HTML elements with single-character names

Fixes gh-4124
Closes gh-4125

Tests: Add support test results for Firefox 61+

Firefox 61 now passes the reliableMarginLeft test.

Closes gh-4122

Dimensions: fix computing outerWidth on SVGs

Fixes gh-3964
Closes gh-4096

Serialize: jQuery.param: return empty string when given null/undefined

Fixes gh-2633
Close gh-4108

Update node dependencies (sans jsdom, qunit, and sinon)

Close gh-4098

Build: Remove unnecessary ESLint exception

The linked-to issue was fixed 2 years ago.

Closes gh-4095

Test: enable a spec testing CSS whitespace preserving in Edge 17

In Edge 14-16 setting a style property to a whitespace-only value resets it to
the default, forcing us to skip a relevant CSS test in Edge. Now that Edge 17
has fixed the issue we can re-enable this test there.

Ref gh-3204
Closes gh-4101

Misc: Add config for lockbot

CSS: Don't auto-append "px" to CSS variables (#4064)

Fixes gh-4063
Closes gh-4064

README: Add FOSSA license scan status badge

squash! Set attributes all at once, src last

Ajax: Allow custom attributes when script transport is used

Fixes gh-3028
Ref gh-2612

Useful, for example, to add `nonce`, `integrity`, or `crossorigin`.

Misc: Update license prolog/epilog to placate Github checker

Traversing: $.fn.contents() support for object

Fixes gh-4045
Closes gh-4046

CSS: Correctly detect scrollbox support with non-default zoom

Fixes gh-4029
Closes gh-4030

CSS: Ensure camel- vs kebab-cased names are not collapsed for CSS vars

Closes gh-4062

CSS: Skip the px-appending logic for animations of non-element props

Without this change animating properties from jQuery.cssNumber on non-elements
throws an error.

Ref gh-4055
Closes gh-4061

Build: Test on Node 10, stop testing on Node 4 & 9

Node.js 4 & 9 are ending their life, Node.js 10 has just been released.

Closes gh-4057

Tests: ensure support tests are failed by at least one tested browser

A whitelist is available so that some tests can be allowed to always succeed.
This is used only for ajax for now as it can be manually disabled in IE but
is enabled by default.

Closes gh-4052

Event: Add "code" property to Event object

Fixes gh-3978
Closes gh-3998

Dimensions: avoid fetching boxSizing when setting width/height
- this avoids forcing a reflow in some cases

Fixes #3991

CSS: Avoid filling jQuery.cssProps

Fixes gh-3986
Closes gh-4005

Avoids filling jQuery.cssProps by introducing a second internal
prop cache. This allows jQuery Migrate to detect external usage.

Build: Don't require sudo on Travis, use sandboxless headless Chrome

The Chrome sandbox doesn't work on Travis unless sudo is enabled. Instead,
we're disabling the Chrome sandbox.

Closes gh-4011

Build: remove artefact from previous commit

Follow-up for 09684ba3f210594e41ecddf369ac94c688d53ccb

Core: Use isAttached to check for attachment of element

This change replaces the use of contains to check for attachment
by isAttached function

Closes gh-3977
Ref gh-3504

Build: Seasonal update of uglify and its options

raw     gz Compared to last run
 =      = dist/jquery.js
-294    -88 dist/jquery.min.js

Closes gh-3994

Tests: Fix Android 4.0 Deferred tests

Closes gh-3967

Tests: Disable native abort test in Android 4.0

The test works on its own when checked manually but mysteriously fails in
TestSwarm only in Android 4.0. Let's just disable it there.

Closes gh-3968

Build: Updating the master version to 3.3.2-pre.

Build: Updating the master version to 3.3.1-pre.

Release: update version to 3.3.0-pre

Release: add new authors to AUTHORS.txt

Tests: skip test with invalid selector for selector-native tests

Build: Add "-debug" suffix to name of karma debug tasks

Ref gh-3922
Close gh-3936

Filter: Use direct filter in winnow

for both simple and complex selectors

Fixes gh-3272
Closes gh-3910

Tests: ensure that module assertions run on supported browsers

- Also fixes tests for karma, where the URL for the module is different

Ref gh-3871

Tests: fix tests in AMD mode

Manipulation: Add support for scripts with module type

Fixes gh-3871
Close gh-3869

Tests: correctly set sudo in travis config, not karma config

Tests: temporarily require sudo access for karma:main on travis

- This should fix the broken travis build on Node 8
- See https://github.com/travis-ci/travis-ci/issues/8836

Tests: fix number of expected assertions in basic core

Core: deprecate jQuery.type

Fixes gh-3605
Close gh-3895

Tests: fix weird flaky attributes test in Edge 16

Fixes gh-3867
Close gh-3931

Tests: fix weird failure in Edge 16 CSS

Fixes gh-3866
Close gh-3932

Core: deprecate jQuery.isNumeric

Fixes gh-2960
Closes gh-3888

Ajax: Don't process non-string data property on no-entity-body requests

Fixes gh-3438
Closes gh-3781

Event: Move event aliases to deprecated

Fixes gh-3214

Core: deprecate jQuery.isFunction

Fixes gh-3609

Build: Remove CRLF line endings to fix builds on Windows

Close gh-3929

Tests: fix function reference for unbinding

Ref gh-2958

Build: Fix UglifyJS output in Android 4.0; update uglify

- Thanks to @mgol for first pass

Fixes gh-3743
Close gh-3920

Tests: only run ontimeout test if ontimeout exists

Fixes gh-3742
Close gh-3919

Ajax: add unit test for getScript(Object)

Fixes gh-3736
Close gh-3918

Attributes: allow array param in add/remove/toggleClass

+30 bytes instead of +182

Thanks to @faisaliyk for the first pass on this feature.

Fixes gh-3532
Close gh-3917

Manipulation: use `.children` to select tbody elements

- selectors beginning with a child combinator are not valid natively.
  This fixes the tests when using selector-native.js

Core: deprecate jQuery.proxy (not slated for removal)

Fixes gh-2958
Close gh-3885

Core: deprecate jQuery.now

Fixes gh-2959
Close gh-3884

Core: adjust data tests to ensure proper camelCasing

- Add back camelCase to the public object (deprecate not remove)
Ref #3384

Core: make camelCase function available only for internal usage

Close gh-3604
Fixes gh-3384

Build: Only run browser tests in one Node version on Travis

Ref gh-3744
Closes gh-3894

Tests: Add support for running unit tests via grunt with karma

- Update QUnit to 1.23.1
- Remove unused dl#dl from test/index.html
- Remove unused map#imgmap from test/index.html
- Ensure all urls to data use baseURI
- Add the 'grunt karma:main' task
  - customContextFile & customDebugFile
- Add 'npm run jenkins' script

Close gh-3744
Fixes gh-1999

Docs: Create CODE_OF_CONDUCT.md

Close gh-3865

CSS: Correctly set support properties with non-default zoom

Fixes gh-3808
Closes gh-3872

Manipulation: Reduce size by eliminating single-use variable

Closes gh-3851

Tests: Add iOS 11 support test results

Build: Test on Node.js 9

Closes gh-3840

Tests: Add Safari 11 support test results

Tests: Make Node tests work for paths with spaces in them

Without this patch Jenkins tests fail as jQuery job names there contain spaces,
e.g. "jQuery Core".

Closes gh-3821

Build: Remove package-lock.json, add it to .gitignore

npm 5, even the version included in the latest Node.js 8.5.0 re-generates
`package-lock.json` on each install. And when it does on a system that doesn't
support all the optional dependencies that are supported on the OS where the
lockfile was generated, it removes those optional deps from the lockfile.

The effect is that everyone firing `npm install` on our repo on any OS other
than macOS will immediately get a dirty state of the repo as the `fsevents`
dependency subtree gets removed from `package-lock.json`. That's a really bad
experience.

This commit removes package-lock.json from the repository and adds it to
.gitignore. We'll start committing the file again once the issue is resolved
on npm's part.

Fixes gh-3792

Build: increase timeout in Promises/A+ tests 10 times

The promises-aplus-tests sets up a default 200 ms Mocha timeout. This makes
our tests randomly fail on Jenkins. 2 seconds will be safer.

Closes gh-3791

Build: Drop cross-spawn, use child_process.spawn shell option

Build: Update to Babel 7, use for-of plugin instead of preset-es2015

Closes gh-3786

CSS: Detect more WebKit styles erroneously reported as percentages

Ref 692f9d4db30c9c6c4f6bc76005cf153586202fa6
Fixes gh-3777
Closes gh-3778

Tests: Update lineHeight adjustments to give Android more slop

CSS: Avoid unit-conversion interference from CSS upper bounds

Fixes gh-2144
Closes gh-3745