Bump perl-actions/install-with-cpanm from 1.3 to 1.4

Bumps [perl-actions/install-with-cpanm](https://github.com/perl-actions/install-with-cpanm) from 1.3 to 1.4.
- [Release notes](https://github.com/perl-actions/install-with-cpanm/releases)
- [Commits](https://github.com/perl-actions/install-with-cpanm/compare/v1.3...v1.4)

---
updated-dependencies:
- dependency-name: perl-actions/install-with-cpanm
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Fix k5start ls -l examples

Fix examples in k5start man page that run ls -l on the temporary
ticket cache to remove any FILE: prefix first.  Thanks, Michael
Osipov.

Fixes #8.

Bump actions/cache from 2 to 3

Bumps [actions/cache](https://github.com/actions/cache) from 2 to 3.
- [Release notes](https://github.com/actions/cache/releases)
- [Commits](https://github.com/actions/cache/compare/v2...v3)

---
updated-dependencies:
- dependency-name: actions/cache
  dependency-type: direct:production
  update-type: version-update:semver-major
...

Signed-off-by: dependabot[bot] <support@github.com>

Bump actions/checkout from 2 to 3

Bumps [actions/checkout](https://github.com/actions/checkout) from 2 to 3.
- [Release notes](https://github.com/actions/checkout/releases)
- [Changelog](https://github.com/actions/checkout/blob/main/CHANGELOG.md)
- [Commits](https://github.com/actions/checkout/compare/v2...v3)

---
updated-dependencies:
- dependency-name: actions/checkout
  dependency-type: direct:production
  update-type: version-update:semver-major
...

Signed-off-by: dependabot[bot] <support@github.com>

Fix Open HUB link in DocKnot configuration

This requires a full URL, not just the package name.

Update RPM spec file

This sadly missed the 4.3 release.

Release 4.3

Install libkeyutils-dev for GitHub Actions

This will allow the CI runs to test building with keyring support.

Use explicit_bzero to clear password with -s

Use explicit_bzero, where available, to overwrite the memory used for
the user's password when k5start is run with the -s option.

Avoid warnings with Autoconf 2.71

Autoconf 2.71 enables warnings for obsolete constructs by default,
and there were a few in the configure machinery for the package.
Replace AC_HELP_STRING with AS_HELP_STRING and AC_CONFIG_HEADER
with AC_CONFIG_HEADERS.

Ignore configure~

The new version of Autoconf creates this backup file for the
configure script.

Add support for kafs

Add support for kafs to the -t options of k5start and krenew.  If AFS
setpag support is not compiled in or AFS is not available, but the
Linux kafs kernel module is available, do not error out when -t is
specified and continue to run the external program.  If libkeyutils is
found at compile time and a command was specified on the command line,
create a new session keyring before running the external command to
isolate its AFS credentials from the calling process.  Thanks to Bill
MacAllister, David Howells, and Jeffrey Altman for proposed code and
implementation discussion.

Improve exit status documentation

Change the man page section title and document the behavior when
the command is killed with a signal.

NEWS and some fixes for exit handling

Add a NEWS entry for the change in exit status handling, fix the
k5start/sigchld test, and add a krenew test.  Fix a style issue
with a C++-style comment.

Merge pull request #2 from versi786/set-exit-status-if-child-stops-via-signal

Set exit status if child stops via signal

Fix k5start/sigchld test for exit status

In preparation for adding a more accurate exit status to k5start,
fix the k5start/sigchld test to only expect the bottom byte of the
exit status to be 0.

Set exit status if child stops via signal

The current implementation of command_finish always calls WEXITSTATUS,
despite the man page for waitpid stating that WEXITSTATUS should only
be used if WIFEXITED returned true.

This change will set the exit status of k5start accordingly by either
using WTERMSIG if WIFSIGNALED returns true, and using WEXITSTATUS if
WIFEXITETED returns true. This means that the user can check the exit
status of the command running under k5start and know if the command
failed. Looking at the following example, in the previous code, the
command would print 0, now it will print 143. This will match the
functionality of bash [0].

$ k5start -f ./user.keytab -- sh -c 'kill $$'; echo $?
143
$ sh -c 'kill $$'; echo $?
143

This also makes a minor change by only setting the status if it is a
non-null pointer.

[0]: https://www.gnu.org/software/bash/manual/html_node/Exit-Status.html

Reformat the source with clang-format

Automated source code formatting is superior to hand-crafting the
formatting.

Use internal insead of private for config

The command framework used by k5start and krenew has a shared
configuration plus internal configuration structs for each program
that hold their own options.  The latter were previously called
private, but this is a C++ reserved word that causes problems with
various tools (such as clang-format) that understand both C and
C++.  Rename those structs to internal.

Add SPDX-License-Identifier to all files

Add explicit identifiers and a test to ensure that all files have
a valid SPDX license identifier.

Add obsolete-strings test and fix old URLs

Add CI status badge to README.md

Fix k5start/perms test on Heimdal

The Heimdal klist, even when it thinks it's running as root,
refuses to open a ticket cache owned by another user or with a
publicly-readable mode.  Work around this by checking the mode
and ownership first, then resetting them to what was expected
and checking the contents of the cache.

Fix ticket cache analysis in test suite with Heimdal

Heimdal's version of klist shows dates in a different format that
the regex parsing of klist output didn't understand.  Adjust for
the current formatting while hopefully not breaking understanding
of previous versions.

Fix races in k5start/daemon and krenew/daemon tests

Several of the tests for backgrounding were missing a delay to
wait for the daemon to start.  Add those in, and clean up the
PID files from previous tests to avoid spurious failures.

k5start and krenew do not write their PID file atomically, so
there was a race condition in the tests where they would detect
the existence of the file and then try to read an empty file.
Avoid this by checking that the file contains a PID using -s.

Add GitHub Actions CI configuration

Add a GitHub Actions workflow to test with MIT and Heimdal based
on the CI configuration for remctl.  Install a dependabot
configuration to update the versions of GitHub Actions.

Add check-cppcheck rule and fix issues

Copy the standard check-cppcheck rule from rra-c-util and fix the
issues that the current version of cppcheck (2.3) uncovered.

Move source files to a commands subdirectory

cppcheck works better when there are no source files at the top
level and I do this with my other packages, so do that here as
well.

Fix the test suite to use C_TAP_BUILD and C_TAP_SOURCE instead of
BUILD and SOURCE to find files.

Remove some obsolete files from .gitignore.

Update to rra-c-util 9.1 and C TAP Harness 4.7

Update to rra-c-util 9.1:

* Fix getgroups error handling in k_haspag replacement.
* Check for a working Kerberos header file during configure.
* Use AS_ECHO in all Autoconf macros for better portability.
* Fix reallocarray portability on NetBSD.
* Stop providing a replacement for a broken snprintf.
* Don't check for krb5-config when using explicit paths.
* Fix new warnings with current versions of GCC and Clang.
* Probe for the warning flags supported by the compiler.

Update to C TAP Harness 4.7:

* Report test failures as left and right instead of wanted and seen.
* Fix string comparisons against NULL pointers.
* Honor C_TAP_SOURCE and C_TAP_BUILD along with SOURCE and BUILD.

Skip keyring tests without keyring support

The current released version of Heimdal doesn't support keyring
ticket caches.  Detect that and skip the relevant tests when built
without that support.

Adjust tests for new tokens output format

The output of tokens now may include the type of AFS token.  Adjust
regexes that match its output accordingly.

Rebuild documentation with DocKnot

Add DocKnot configuration and use it to rebuild the README file and
add a README.md file.

Add only running aklog to TODO

Add anonymous authentication support to TODO

Add tests/data/perl.conf to the distribution

Fix paths to POD docs in EXTRA_DIST

Release 4.2

Clean up license notices and regenerate LICENSE

Use the Debian copyright-format 1.0 format for LICENSE.  Fix up the
files that had unparseable license notices or ones with typos, and
add license notices to a few files that didn't have them.

Move POD documentation into a docs subdirectory

This is required for the standardized documentation check, and
reduces some clutter at the top level.

Remove strlcpy, strlcat, and strndup

These are no longer used by the utility library, so we don't have
to provide replacements for them.  Also clean up a remaining build
rule for the concat test suite.

Update to rra-c-util 5.9 and C TAP Harness 3.4

Update to rra-c-util 5.9:

* Add missing va_end to xasprintf implementation.
* Improve portability to Kerberos included in Solaris 10.
* Use appropriate warning flags with Clang (currently not warning clean).
* Use Lancaster Consensus environment variables to control tests.
* Use calloc or reallocarray for protection against integer overflows.
* Suppress warnings from Kerberos headers in non-system paths.
* Assume calloc initializes pointers to NULL.
* Assume free(NULL) is properly ignored.
* Improve error handling in xasprintf and xvasprintf.
* Check the return status of snprintf and vsnprintf properly.
* Preserve errno if snprintf fails in vasprintf replacement.
* Fix probing for Heimdal's libroken to work with older versions.
* Improve POD tests.
* Fix kafs compilation failure on Solaris 11 or later.
* Drop concat from the util library in favor of asprintf.
* Fail on any error in [bx]asprintf and [bx]vasprintf.
* Pass --deps to krb5-config in the non-reduced-dependencies case.
* Silence __attribute__ warnings on more compilers.

Update to C TAP Harness 3.4:

* Fix segfault in runtests with an empty test list.
* Display verbose test results with -v or C_TAP_VERBOSE.
* Support comments and blank lines in test lists.
* Check for integer overflow on memory allocations.
* Reopen standard input to /dev/null when running a test list.
* Don't leak extraneous file descriptors to tests.
* Suppress lazy plans and test summaries if the test failed with bail.
* runtests now treats the command line as a list of tests by default.
* The full test executable path can now be passed to runtests -o.
* Improved harness output for tests with lazy plans.
* Improved harness output to a terminal for some abort cases.
* Flush harness output after each test even when not on a terminal.
* Only use feature-test macros when requested or built with gcc -ansi.
* Drop is_double from the C TAP library to avoid requiring -lm.
* Avoid using local in the shell libtap.sh library.
* Silence __attribute__ warnings on more compilers.
* runtests now frees all allocated resources on exit.

Retry initial authentication until it succeeds

For both k5start with a command or -K and no -x flag, and krenew with
the -i flag, repeatedly retry the initial authentication.  The first
retry will be immediate, and then the commands will keep trying with
exponential backoff to one minute intervals, and then continuously at
one minute intervals until the command is killed or authentication
succeeds.  k5start and krenew will no longer start any other command
until the initial authentication succeeds, fixing startup behavior
when running a command that must have valid Kerberos tickets
immediately on start.  Based on a patch by Lars Hanke.

Fix a Stanford-specific bit in the test suite

When stripping the realm, strip any realm, not just stanford.edu.

Also fix -a and -b checks for krenew, add NEWS entry

Fixed option plausibility checks

Improve documentation and add NEWS for -a option

Fix k5start documentation of -K default

The default for -K is one hour, not something appropriate to the
ticket lifetime.  Add adjusting the wakeup period to the ticket
lifetime to TODO.

Add some additional work to TODO

Update the short description of the package

Don't advertise srvtabs, and add more information about the added
features over kinit.

Add -a option to always renew tickets and tokens

Add the -a option to k5start and krenew, which says to always try
to renew our tickets (and tokens, if -t) every time we wake up,
regardless of how much time is left on the tickets.  This is useful if
you want to ensure that a certain amount of lifetime always exists
on the tickets, or if you want to ensure aklog gets run, even if
something else is keeping our tickets fresh.

Based on a patch by Andrew Deason.

Fix another place where a temporary cache wasn't removed

If fchmod of the temporary ticket cache failed, the file wasn't
deleted.  Add in code to do that.

Change my email address to eagle@eyrie.org

Enable large file support

This probably won't matter, but may as well.

Make daemon test suite more robust

Extend delays, since authentication can take a while on a remote,
loaded network.  Use better strategies for waiting for activity
than simple numeric delays.  Fix the test count in k5start/daemon.

Skip keyring tests if the resulting tickets disappear

MIT Kerberos doesn't cope well with UID session keyrings.  It can
get tickets, but then the tickets disappear.  Check for that and
skip the keyring tests if we're running into that problem.

Add AM_PROG_AR to configure.ac, needed by newer Automake

Apply new -H with -K meaning to krenew, clean up code

-H can now be used with -K in krenew as well.  Simplify the
implementation, hopefully improve the documentation, and add a
NEWS entry.

Allow usage of -K together with -H

This allows users to override the default minimum remaining ticket
lifetime of two minutes after the next run when using -K.

When using -H without -K there should be no change in behaviour.

Add flag for reprompting to TODO

NEWS entry and test suite for k5start exit changes

Ensure that k5start -K -x still exits on initial failure

k5start -K no longer exits if initial authentication fails

k5start, when run with the -K option to run as a daemon, no longer
exits if the initial authentication fails.  Instead, it reports the
error to standard error and then continues to run, attempting
authentication every minute as if authentication had failed after it
had started.  Patch from Rasmus Borup Hansen.

Clean up after failure with k5start -o, -g, or -m

Clean up the temporary ticket cache on k5start failure if -o, -g, or
-m were given.  Based on a patch by Rasmus Borup Hansen.

Add NEWS entry for krenew -i interval fix

Shorten the wake-up period if there was an initial failure

If -i is given to krenew and the initial ticket renewal failed, start
with the shorter wake-up interval of one minute just as if a
subsequent renewal failed.

Fix k5start documentation to not imply it switches users

The first argument is the principal, not a username.  Don't call it
a username and imply that k5start can switch users.

Add spec changelog for changes from Robbert Eggermont

Add updated spec file

- The .spec file refers to version 3.16.
- SLED doesn't have krb5-libs; both SLED and RHEL seem fine with
  Requires: krb5'.
- The %defattr lines cause some directory permissions problems.

Fix stray whitespace in NEWS

This was breaking formatting for the web pages.

Remove generated krb5.conf in non-renewable tests

If there is no keytab configuration, we were generating a krb5.conf
file and not deleting it.

Fix some documentation spelling errors

Release 4.1

Shorten the wakeup interval on errors

When k5start or krenew are running as a daemon and obtaining new
tickets fails, both now shorten the wakeup interval to one minute and
keep trying at that interval until the error resolves itself, and then
go back to the normal wakeup interval.

Always clean up PID files on exit

After a SIGHUP or SIGTERM when not running a command, k5start and
krenew now clean up their PID files, if any, before exiting.

Update copyright dates

Add krenew -s option to SIGHUP the command on exit

Add a new -s option to krenew that, if given, tells krenew to send
SIGHUP to the command it's running when it exits because it can't
renew the ticket.  This is useful when continuing to run the command
without a valid ticket would be pointless.

Test that krenew doesn't kill the command on exit

Fix k5start -H with a cache for the wrong principal

Fix a regression introduced in kstart 4.0 where k5start -H would be
happy with an unexpired ticket for a different principal than the
desired client principal.

Fix k5start -H and krenew -H with non-renewable tickets

Fix a regression introduced in kstart 4.0 that caused k5start -H and
krenew -H to fail and attempt reauthentication with non-renewable
tickets even if the lifetime was long enough.  Thanks to pod for the
report.

Add krenew option to SIGHUP child on exit to TODO

Improve the README discussion of kafs requirements

When re-execing perms-t via fakeroot, use the SOURCE directory

Release 4.0

Add new test files to the distribution

Remove another stray "Kerberos v5" reference

Update LICENSE

Remove the MIT copyright and license; there are no appreciable bits
of MIT kinit left in this code.  Everything has been rewritten.

Update lots of LICENSE information from the import of new code from
rra-c-util and various licensing changes there.

Add tests/README from C TAP Harness

Update README for kafs requirements, MIT Kerberos for tests

Add replacement for missing krb5_cc_get_full_name

Fix krenew cache canonicalization

Canonicalize to the full name similar to the change to k5start.  Add
a test for krenew handling of keyring caches.

Fix k5start/daemon tests for working cache canonicalization

Fix cache canonicalization in k5start

Canonicalize to the full name of the cache, not just the identifier.
Add a test for using k5start with keyring caches.

Always canonicalize the ticket cache name in k5start

Always canonicalize the ticket cache name in k5start before
propagating KRB5CCNAME to child processes.  This combined with the
previous change allows -k to specify a ticket cache name that changes
once the cache is created, such as when creating new PIPE caches.

Further documentation fixes for the new -x flag

Adjust krenew/basic test for changes in error messages

Add some additional TODO items for test suite work

Add additional TODOs for faster retry on errors, PID cleanup

Add new -x option to k5start and krenew to exit on error

This restores the previous behavior, changed in this release to
keep running by default.

Test that k5start keeps running after an error

Modify k5start/daemon test to use tests/tmp for temporary files