lib: Fix potential invalid read past an empty string

==22884== ERROR: AddressSanitizer: heap-buffer-overflow on address 0x601600008291 at pc 0x7ff6295680e5 bp 0x7fff4ab9aa40 sp 0x7fff4ab9aa08
READ of size 1 at 0x601600008291 thread T0
    #0 0x7ff6295680e4 in __interceptor_strcmp ??:?
    #1 0x44763b in _thread_add_message /home/todd/.apps/notmuch/lib/thread.cc:255
    #2 0x4459e8 in notmuch_threads_get /home/todd/.apps/notmuch/lib/query.cc:496
    #3 0x41e2a7 in do_search_threads /home/todd/.apps/notmuch/notmuch-search.c:131
    #4 0x40a408 in main /home/todd/.apps/notmuch/notmuch.c:345
    #5 0x7ff627cb9ec4 in __libc_start_main /build/buildd/eglibc-2.19/csu/libc-start.c:287
    #6 0x40abf3 in _start ??:?
0x601600008291 is located 0 bytes to the right of 97-byte region [0x601600008230,0x601600008291)
allocated by thread T0 here:
    #0 0x7ff62956e41a in malloc ??:?
    #1 0x7ff628b8ab5d in talloc_strdup ??:?

Emacs: Display a message when generating address completion candidates

The TAB-initiated address completion generates completion candidates
synchronously, blocking the UI. Since this can take long time, it is
better to let the use know what's happening.

nmbug: Add a 'help' command for folks who don't like --help

The 'if args.func == help' block at the end avoids:

    AttributeError: 'functools.partial' object has no attribute '__code__'

thread-naming test: Test empty subject names.

We test all empty subjects, and then empty subjects followed by
non-empty subjects (searching both oldest- and newest-first).

test-lib: Add dummy subject to force empty subject

At the moment, the test-lib fills in any missing headers. This makes
it impossible to test our handling of empty subjects. This will
allow us to use a special dummy subject -- `@FORCE_EMPTY` -- to force
the subject to remain empty.

thread.cc: Avoid empty thread names if possible.

Currently the thread is named based on either the oldest or newest
matching message (depending on the search order). If this message has
an empty subject, though, the thread will show up with an empty
subject in the search results. (See the thread starting with
`id:1412371140-21051-1-git-send-email-david@tethera.net` for an
example.)

This changes the behavior so it will use a non-empty name for the
thread if possible. We name threads based on (a) non-empty matches for
the query, and (b) the search order. If the search order is
oldest-first (as in the default inbox) it chooses the oldest matching
non-empty message as the subject. If the search order is newest-first
it chooses the newest one.

emacs: add stash support for git send-email command line

Stash From/To/Cc as --to/--to/--cc, respectively, and Message-Id as
--in-reply-to, suitable for pasting to git send-email command line.

emacs: make citation function customizable.

Make a new customizable variable instead of relying on
message-cite-function because the default for the latter changed
between emacs releases.

The defcustom is borrowed from the message.el source, with minor
modifications.

contrib: remove notmuch deliver

contrib/notmuch-deliver is presumed obsoleted by notmuch-insert.

emacs: Washing should use more `defcustom'.

More of the washing variables should be available through the standard
customisation interface.

emacs: More flexible washed faces.

The faces used when washing messages should be notmuch specific and
inherit from the underlying emacs face rather than using it
directly. This allows the washed face to be modified without requiring
the modification of the underlying face.

configure: add check for python interepreter name

Currently we hardcode "python" in several places. This makes things
hard for people who have only commands called python3 and/or
python2. We also add the name to sh.config to eventually replace the
current workaround in the test suite.

build: eliminate use of python execfile command

As discussed in
id:8cc9dd580ad672527e12f43706f9803b2c8e99d8.1405220724.git.wking@tremily.us,
execfile is unavailable in python3.

The approach of this commit avoids modifying the python module path,
which is arguably preferable since it avoids potentially accidentally
importing a module from the wrong place.

debian: update ./debian/.gitignore

One binary package was renamed, and notmuch-dbg was mysteriously
missing from the existing .gitignore.

completion: remove the broken notmuch-completion.tcsh

The tcsh completion is minimal yet doesn't work at all. We're better
off without it, it's more embarrassing than useful.

lib: convert two "iterator copy strings" into references.

Apparently this is a supported and even idiomatic way of keeping a
temporary object (e.g. like that returned from an operator
dereference) alive.

lib: another iterator-temporary/stale-pointer bug

Tamas Szakaly points out [1] that the bug fixed in 51b073c still
exists in at least one place. This change follows the suggestion of
[2] and creates a block scope temporary std::string to avoid the rules
of iterators temporaries.

[1]: id:20141226113755.GA64154@pamparam
[2]: id:20141226230655.GA41992@pamparam

completion: complete notmuch insert --folder to maildir folders only

The --folder option expects a folder relative from maildir root, so
complete like the folder: search term.

completion: complete notmuch insert --keep and --no-hooks options

Add default configuration values to the man page

lib: drop the deprecation message for single-message mbox files

We generally do not support mbox files, but for historical reasons
we've supported single-message mbox files, with a deprecation
message. We've tried dropping the support altogether, but backed out
of it because we'd need to stop indexing them, while keeping support
for previously indexed files. This would be more complicated than
simply supporting single-message mbox files. Therefore, drop the
deprecation message, and just silently accept single-message mboxes.

bindings/ruby: gitignore *.o

lib: Use email address instead of empty real name.

Currently, if a From-header is of the form:

    "" <address@example.com>

the empty string will be treated as a valid real-name, and the entry
in the search results will be empty.

The new behavior here is that we treat an empty real-name field as if
it were null, so that the email address will be used in the search
results instead.

Signed-off-by: Jesse Rosenthal <jrosenthal@jhu.edu>

test: Add known-broken test for empty author name

We test for whether a quoted empty email address

    "" <address@example.com>

will show up as the address, instead of the empty string. This is
marked as known-broken, since the current behavior is to use the empty
string.

This is a new test file, since handling of unusual email addresses
doesn't seem to fit well in any of our existing tests.

Signed-off-by: Jesse Rosenthal <jrosenthal@jhu.edu>

emacs: `with-current-notmuch-show-message' should not leak `coding-system-for-read'

`with-current-notmuch-show-message' applies a `no-conversion' coding
system when reading a raw message from notmuch. That coding system
should _not_ be applied when the body of the macro is evaluated, as it
can cause file operations used during that evaluation to incorrectly
apply the `no-conversion' coding system.

This was discovered when a user's .signature file contained non-ASCII
characters. When a message is forwarded, the `no-conversion' coding
system was applied to the reading of the .signature file, resulting in
raw rather than UTF-8 interpretation of the data.

NEWS & doc: typing fixes

Some inconsistent formatting in NEWS for 0.19, 0.18 & 0.17 fixed.

Extra `*` when making bold text in doc/man1/notmuch-search.rst removed.

Merge tag '0.19'

notmuch 0.19 release

debian: update debian/NEWS and debian/changelog

Plagiarize my upstream summary for debian, and mention the new
upgrade.

version: bump to 0.19

NEWS: deprecate notmuch deliver

notmuch-deliver has no commits for about 2.5 years. notmuch-insert has
all the features that deliver does, and as far as I understand the
error handling has now caught up.

NEWS: add short overview section

I decided to err on the side of brevity, since the details are just
below.

News for mark read handling

amended by db: capitalized notmuch.

doc: Minor fixes related to notmuch-address

- Add notmuch-address to HTML index
- Remove extra '*'

NEWS: notmuch address

NEWS: functions in emacs notmuch-show-stash-mlarchive-link-alist

News for emacs: allow functions in
notmuch-show-stash-mlarchive-link-alist.

NEWS: notmuch insert, search updates

News for

- cli: add support for notmuch search --duplicate=N with --output=messages
- cli/insert: add post-insert hook
- cli/insert: require succesful message indexing for success statu

NEWS: Database version 3, API improvements, and ghost messages

debian: bump standards version

bump version to 0.19~rc2

emacs: show: document the mark unread defcustom function

cli: notmuch address option defaults update

When no --output option were given, change default to display senders
only.

When only --count option is given, display senders (in contrary to not
displaying anything).

Document that --count with --sort=**order** is not supported option
combination.

Clean up some whitespace in the documentation.

One test updated to have --output=count without sender nor recipient
output option.

doc: whitespace cleanup

Changed one tab in doc/man1/notmuch-show.rst to 8 spaces.

Removed one leading tab in doc/man5/notmuch-hooks.rst to make
the SYNOPSIS style consistent with other pages.

News for dump/writelock change

debian: bump date in changelog.

It looks a bit riduculous to have a September date there.

lib: bump LIBNOTMUCH_MAJOR_VERSION to 4

This should have been done at the same time as the SONAME bump.

version: update to 0.19~rc1

Sync NEWS debian/changelog at the same time, although in those cases it's a downgrade.

doc: add notmuch-address.rst to sphinx config

This is needed so that the rst docs are converted to man and info
pages.

cli: address: Add --output=count

This output prints how many times was each address encountered during
search.

cli: address: Do not output duplicate addresses

This filters out duplicate addresses from address command output.

It also also adds tests for the address command.

The code here is an extended version of a patch from Jani Nikula.

cli: search: Convert --output to keyword argument

Now, when address related outputs are in a separate command, it makes
no sense to combine multiple --output options in search command line.
Using switch statement to handle different outputs is more readable
than a series of if statements.

cli: Introduce "notmuch address" command

This moves address-related functionality from search command to the
new address command. The implementation shares almost all code and
some command line options.

Options --offset and --limit were intentionally not included in the
address command, because they refer to messages numbers, which users
do not see in the output. This could confuse users because, for
example, they could see more addresses in the output that what was
specified with --limit. This functionality can be correctly
reimplemented for address subcommand later.

Also useless values of --exclude flag were not included in the address
command.

This was inspired by a patch from Jani Nikula.

cli: add support for hierarchical command line option arrays

NOTMUCH_OPT_INHERIT expects a notmuch_opt_desc_t * pointer in
output_var.

The "Unrecognized option" message was moved out of parse_option() to
not be emitted twice or when parsing a non-inherited option.

cli: search: Split notmuch_search_command to smaller functions

In a subsequent commit, these functions will be used to share some
functionality between search and address commands.

cli: search: Convert ctx. to ctx->

In the next commit, notmuch_search_command will be refactored to
several smaller functions. In order to simplify the next commit to
verbatim move of several lines to new functions with search_context_t*
argument, we convert all references to this structure to pointer
dereferences. To do so we rename the context variable and use the
original name ctx as the pointer to the renamed structure.

cli: search: Move more variables into search_context_t

In order to share some command line options between search and address
subcommands we need to add corresponding variables to the context
structure. While we are at it, we also add notmuch_database_t to unify
parameters of all do_search_* functions and to simplify subsequent
commits.

Otherwise, there are no functional changes.

cli: search: Rename options to context

In the next commit the options structure will be extended by
non-option variables. Therefore we need a more generic name.

Just text replacement, no other changes.

devel: man-to-mdwn.pl: add GPLv3+ notice to manpages.mdwn

Make the generated head manual page (in the notmuchmail wiki)
display the licence information the whole notmuch software is licenced
under.

devel: make man-to-mdwn.pl to work with generated manual pages

The new manual pages converted from rst using sphinx or rst2man
has somewhat different syntax. man-to-mdwn.pl is now adjusted
to produce even better output from this syntax. The changes also
include using utf-8 locale (e.g. for tables and generated hypens)
and and quite a few bugs fixes.
This tool still produces better results than just using the
html pages generated using sphinx / rst2html. For example those
tools don't create inter-page hyperlinks -- and the preformatted
pages written by man-to-mdwn.pl just works well with manual page
content.

test: Make gen-threads work with python3

python3 doesn't allow dictionaries to be initialized with non-string
keywords. This presents problems on systems in which "python" means
"python3". We instead initalize the dictionary using the dict
comprehension and then update it with the values from the tree. This
will work with both python2 and python3.

test: add tests for --output=messages --duplicate=N

Basic smoke tests for the feature, nothing fancy.

cli: add support for notmuch search --duplicate=N with --output=messages

Print the message IDs of all messages matching the search terms that
have at least N files associated with them.

configure: move make {,install} instructions to the end

There was theorical possibility that writing the config files could
have skipped (by interruption) after the instructions how to make
notmuch was printed out.

cli: search: Add --output={sender,recipients}

The new outputs allow printing senders, recipients or both of matching
messages. To print both, the user can use --output=sender and
--output=recipients simultaneously.

Currently, the same address can appear multiple times in the output.
The next commit will change this. For this reason, tests are
introduced there.

We use mailbox_t rather than InternetAddressMailbox because we will
need to extend it in a following commit.

This code is based on a patch from Jani Nikula.

cli: search: Convert --output to keyword-flag argument

This converts "notmuch search" to use the recently introduced
keyword-flag argument parser. At this point, it only makes the code
slightly less readable but following commits that add new --output
keywords will profit from this.

cli: Add support for parsing keyword-flag arguments

This allows having multiple --foo=bar --foo=baz options on the command
line, with the corresponding values OR'd together.

[Test added by Michal Sojka]

cli: search: Refactor passing of command line options

Many functions that implement the search command need to access command
line options. Instead of passing each option in a separate variable, put
them in a structure and pass only this structure.

This will become handy in the following commits.

NEWS: Improved `q` binding.

emacs: Improve the behaviour of the 'q' binding.

When a user hits 'q' in a notmuch buffer, kill the buffer only if
there are no other windows currently showing it.

test: use LDFLAGS in test/Makefile.local

Apparently the test binaries are built with minimal LDFLAGS, only
adding dependency specific LDFLAGS as needed. However because some of
the test binaries incorporate notmuch object files, it is necessary to
use the same link flags as notmuch. For example user provided
CFLAGS/CXXFLAGS/LDFLAGS with -fsanitize=undefined fails to build the
test binaries if the flags differ.

test: add simple tests for post-insert hook

Most of the existing tests for pre/post-new hook don't seem to apply.

cli/insert: add post-insert hook

The post-new hook might no longer be needed or run very often if
notmuch insert is being used. Therefore a post-insert hook is needed
(arguably pre-insert not so much, so don't add one). Also add the
--no-hooks option to skip hooks.

gitignore: ignore sh.config and doc/config.dox

cli: cast timeval fields to long for format

This hides platform differences between struct timeval field types.

emacs: notmuch-jump.el should provide.

To ease loading, notmuch-jump.el should provide 'notmuch-jump.

lib: Remove unnecessary thread linking steps when using ghost messages

Previously, it was necessary to link new messages to children to work
around some (though not all) problems with the old metadata-based
approach to stored thread IDs.  With ghost messages, this is no longer
necessary, so don't bother with child linking when ghost messages are
in use.

test: Test upgrade to ghost messages feature

lib: Enable ghost messages feature

This fixes the broken thread order test.

lib: Implement upgrade to ghost messages feature

Somehow this is the first upgrade pass that actually does *any* error
checking, so this also adds the bit of necessary infrastructure to
handle that.

lib: Implement ghost-based thread linking

This updates the thread linking code to use ghost messages instead of
user metadata to link messages into threads.

In contrast with the old approach, this is actually correct.
Previously, thread merging updated only the thread IDs of message
documents, not thread IDs stored in user metadata.  As originally
diagnosed by Mark Walters [1] and as demonstrated by the broken
T260-thread-order test, this can cause notmuch to fail to link
messages even though they're in the same thread.  In principle the old
approach could have been fixed by updating the user metadata thread
IDs as well, but these are not indexed and hence this would have
required a full scan of all stored thread IDs.  Ghost messages solve
this problem naturally by reusing the exact same thread ID and message
ID representation and indexing as regular messages.

Furthermore, thanks to this greater symmetry, ghost messages are also
algorithmically simpler.  We continue to support the old user metadata
format, so this patch can't delete any code, but when we do remove
support for the old format, several functions can simply be deleted.

[1] id:8738h7kv2q.fsf@qmul.ac.uk

lib: Internal support for querying and creating ghost messages

This updates the message abstraction to support ghost messages: it
adds a message flag that distinguishes regular messages from ghost
messages, and an internal function for initializing a newly created
(blank) message as a ghost message.

lib: Introduce macros for bit operations

These macros help clarify basic bit-twiddling code and are written to
be robust against C undefined behavior of shift operators.

lib: Update database schema doc for ghost messages

This describes the structure of ghost mail documents.  Ghost messages
are not yet implemented.

lib: Add a ghost messages database feature

This will be implemented over the next several patches.  The feature
is not yet "enabled" (this does not add it to
NOTMUCH_FEATURES_CURRENT).

Merge tag '0.18.2'

notmuch 0.18.2 release

debian: add changelog stanza for 0.18.2-1

version: bump to 0.18.2

No non-documentation changes

NEWS: give real entry for 0.18.2

Expand out what the actual test suite changes are, so people have a
better idea if the release is relevant to them.

Merge tag '0.18.2_rc1'

notmuch 0.18.2~rc1 release

Conflicts:
NEWS
debian/changelog

debian: build depend on dh-python

The build log asked me nicely, so I did.

debian: add changelog stanza for 0.18.2~rc-1

NEWS: add minimal news item for 0.18.2

The less said, the less typos to make.

version: bump to 0.18.2~rc1

test: kill '"filename": "signature.asc"' from json output

This starts to appear with emacs24.4, so we can't easily have it in
our expected output.

test/emacs: force *Messages* buffer to be writable

In emacs 24.4 the messages buffer starts being read-only, which kills
these tests.  This seems to be the point of the variable
inihibit-read-only, which has existed at least since emacs 21.

test: simplify T360-symbol-hiding, use nm instead of objdump

After yet another variation in objdump output caused this test to fail
(on a Debian port, no less), I decided whatever putative benefit we
get from looking at the object files instead of the library isn't
worth the maintenence headache.

This version uses nm -P. nm -P should be portable, and fixed format.
It purposely doesn't use the -D argument, since that is non-POSIX and
nm on GNU/Linux seems do the right thing without it.

It still won't work out of the box on e.g. Mac OS/X. I think the right
thing to do there is to move some more configuration information into
sh.config.

(cherry picked from commit c34d6bad0f9da300eac2181e2073aee130432932)

test: Port atomicity test to Python

Previously, this was implemented using a horrible GDB script (because
there is no such thing as a non-horrible GDB script).  This GDB script
often broke with newer versions of GDB for mysterious reasons.  Port
the test script to GDB's Python API, which makes the code much cleaner
and, hopefully, more stable.

(cherry picked from commit cbbda62258360f035894cff9dfd66c60b0cc707f)

Conflicts:
test/T380-atomicity.sh

README.rst: typo/wording fixes

It occurs that hardcoding the URL will not make sense in forks.
Mind you, the whole README won't make much sense in forks.

doc: add README.rst especially for github

Apparently README.rst overrides README, so this will show up instead
of our generic README on github.

If the user is already on github, then clicking a link for more
information is not a hardship.

VIM: Make starting in 'insert' mode for compose optional

This adds a variable to make starting in insert mode optional when
composing and replying to emails.  I found it unusual to be started in
insert mode so I thought I'd make it optional as others may find this as
well.

    Ian

VIM: Use notmuch CLI for config

This patch switches from reading .notmuch-config directly to using
the CLI the same way that emacs does it.  It actually uses less code
and is probably less error prone.

    Ian