multiarchanalyze: disable transitive m-a:same hints

It is a long-standing disagreement with lintian. Until now, the hinter
emitted hints when some package could plausibly be marked M-A:same even
when dependencies couldn't. lintian complains about that when such a
dependency comes from the same source package. We now follow lintian.
This deletes around 2000 hints and will cause people to have to apply
hints multiple times. For instance your libfoo-dev package will only be
flagged after your libfooN was flagged. So be it.

multiarchimport.py: add --sequential option

multiarchanalyze.py: speed up yaml dumping

multiarchimport.py: httpredir.d.o is deprecated

multiarchanalyze.py: make pylint happier

pylint does not recognize that the condition ensures left and right to
be defined.

drop remaining Python 2.x support

multiarchimport.py: log exceptions from worker processes

multiarchimport.py: use dedup.utils.iterate_packages

multiarchimport.py: decodetarname was dropped in master

Fixes: ba840e8913ef ("Merge branch master into branch multiarchhints")

Merge branch master into branch multiarchhints

Among other things, this drops Python 2.x support.

dedup.utils: uninline helper function iterate_packages

webapp.py: consistently close cursors using context managers

DecompressedStream: improve performance

When the decompression ratio is huge, we may be faced with a large
(multiple megabytes) bytes object. Slicing that object incurs a copy
becomes O(n^2) while appending and trimming a bytearray is much faster.

multiarchimport.py: reduce default logging

multiarchanalyze.py: fix python3 compatibility

.keys() now returns a special object, but show_files really wants
something that provides len() and supports repeated iteration.

DecompressedStream: fix endless loop

Fixes: 775bdde52ad5 ("DecompressedStream: avoid mixing types for variable data")

webapp: avoid changing variable type

Again static type checking is the driver for the change here.

autoimport: avoid changing variable type

knownpkgvers is a dict while knownpkgs is a set. Separating them helps
static type checkers.

webapp: speed up encode_and_buffer

We now know that our parameter is a jinja2.environment.TemplateStream.
Enable buffering and accumulate via an io.BytesIO to avoid O(n^2)
append.

webapp: improve performance

html_response expects a str-generator, but when we call the render
method, we receive a plain str. It can be iterated - one character at a
time. That's what encode_and_buffer will do in this case. So better
stream all the time.

webapp: forward compatibility with newer werkzeug

autoimport.py: convert to use pathlib

importpkg: fix suprression of boring content

The content must be bytes. Passing str silently skips the suppression.

DecompressedHash: also gain a name property for consistency

ImageHash: gain a name property

Instead of retroactively attaching a name to an ImageHash, autogenerate
it via a property. Doing so also simplifies static type checking.

don't return the first parameter from hash_file

Returning the object gets us into trouble as to what precisely the
return type is at no benefit.

drop unused function sql_add_version_compare

DecompressedStream: avoid mixing types for variable data

The local variable data can be bool or bytes. That's inconvenient for
static type checkers. Avoid doing so.

DecompressedStream: eliminate redundant closed field

stop hiding M-A:same conflicts in binNMUed packages

The issue has been solved by Mattia Rizzolo in dh-strip-nondeterminism
via #999665.

drop obsolete python modules

Both lzma and concurrent.futures are now part of the standard library
and solely exist as virtual packages.

externalize ar parsing to arpy

use python3-pil instead of removed python3-imaging

fix tuple mismatch

Fixes: e6115dd16b46 ("hide M-A:same conflicts in binNMUed packages")

hide M-A:same conflicts in binNMUed packages

binNMUed packages are not currently reproducible, because buildds don't
pass --binNMU-timestamp to sbuild. Thus they use varying
SOURCE_DATE_EPOCH and produce faulty packages. As much as this is a real
bug, it is not actionable by maintainers. Hide such issues for now.

Link: https://salsa.debian.org/perl-team/modules/packages/libtie-hash-indexed-perl/-/merge_requests/1
Link: https://bugs.debian.org/843773

fix typo in maforeign_library regex

drop support for Python 2.x

adapt to python3-magic/2:0.4.15-1 API

multiarchanalyze: give examples when representing arch sets

Uwe Kleine-König said that knowing example architectures for file
conflicts would be incredibly useful. The old presentation of
architecture sets would collapse sets that are too big to a single
count. This makes it difficult to find any colliding pair. Now, we'll
now give at least two example architectures in addition to the count.

Reported-By: Uwe Kleine-König <ukleinek@debian.org>

fix logic inversion in package selection

We want the package with the highest version, not the lowest.

Reported-By: Uwe Kleine-König <ukleinek@debian.org>

multiarchanalyze: opportunistically emit a version when unique

add module dedup.filemagic

This module is not used anywhere and thus its dependency on
python3-magic is not recorded in the README. It can be used to guess the
file type by looking at the contents using file magic. It is not a
typical hash function, but it can be used for repurposing dedup for
other analysers.

fix HashBlacklistContent.copy

It wasn't copying the stored member and thus could be blacklist "wrong"
content after a copy.

multiarchimport: python 3 forward compatibility

multiarchanalyze: detect some form wrong M-A:foreign

When an arch:any package ships a .so file in a public library search
path (e.g. a symlink as many lib*-dev packages do) it most likely
shouldn't be M-A:foreign. A common exception is plugins loaded into
programs, so exclude that case.

Many thanks to Johannes Schauer and Guillem Jover for helping discover
this pattern of Multi-Arch: foreign abuse.

autoimport: fix regresion in url computation

The list path got inadvertently prepended to all binary package urls.

Fixes: 420804c25797 ("autoimport: improve fetching package lists")

multiarchanalyze: make it easily consumable by tracker.d.o

Many thanks to Paul Wise for his detailed feedback on the data format.

repository moved

multiarchanalyze: speed up on sqlite3 3.8.7.1

Since all users of archdepcandidate run the results through "exists()"
or "group by", "union" vs "union all" does not make any difference to
the results.

On the performance side however, it avoids a b-tree merge getting the
maforeign_candidate query down from hours to seconds.

add a separate tool for generating hints on Multi-Arch headers

It builds on the core functionality of dedup, but uses a different
database schema. Unlike dedup, it aborts downloading Arch:all packages
early and consumes any other architecture in its entirety instead.

DecompressedStream: fix decompression without flush

In Python 3.x, lzma.LZMADecompressor doesn't have a flush method.

autoimport: fix hash check

Fixes: 2f12a6e2f426 ("autoimport: add option to skip hash checking")

autoimport: improve fetching package lists

Moving the fetching part into dedup.utils. Instead of hard coding the
gzip compressed copy, try xz, gz and plain in that order. Also take care
to actually close the connection.

use urlopen from urllib2 on py2

This causes non-successful fetches to result in HTTPErrors like it does
in py3 already.

move dedup.debpkg.process_control back into importpkg

After all, it isn't that generic. It knows what information is necessary
for running dedup. Thus it really belongs to the extractor subclass.
By building on handle_control_info, not that much parsing logic is left
in the extractor subclass.

DebExtractor: implement parsing of control.tar

importpkg: fix --hash broken in previous commit

remove curl dependency

Teach importpkg how to download urls using urlopen and thus remove the
need for invoking curl.

autoimport: add option to skip hash checking

For variations of dedup, that do not consume the data.tar member, this
option can save significant bandwidth.

autoimport: stream package list and use generic decompressor

 * streaming means that we do not need to hold the entire package list
   in memory (but the pkgs dict will become large anyway).
 * The decompress utility allows easily switching to e.g. xz which is
   the only compression format for the dbgsym suites.

DecompressedStream: implement readline

Iteration over file-like is required by deb822.Packages.iter_paragraphs.

move from deprecated optparse to argparse

treat Pre-Depends like regular Depends

The former behaviour was ignoring them. The intended use for dedup is to
know whenever a package unconditionally requires another package.

push more functionality into DebExtractor

The handle_ar_member and handle_ar_end methods now have a default
implementation adding further handlers handle_debversion,
handle_control_tar and handle_data_tar.

In that process two additional bugs were fixed:
 * decompress_tar was wrongly passing errors="surrogateescape" for
   Python 2.x even though that's only supported for Python 3.x.
 * The use of decompress actually passes the extension as unicode.

use same Python version for autoimport and importpkg

The autoimport tool runs the Python interpreter explicitly. Instead of
invoking just "python" and thus calling whatever the current default is,
use sys.executable which is the interpreter used to run autoimport, thus
locking both to the same Python version.

support Python 3.x in importpkg

In Python 2.x, TarInfo.name is a bytes object. In Python 3.x,
TarInfo.name always is a unicode object. To avoid importpkg crashing
with an exception, we direct the Python 3.x decoding to use
surrogateescapes. Thus decoding the name boils down to checking whether
it contains surrogates.

decouple a function decompress out of decompress_tar

Building on the previous commit, add a decompress function that turns a
compressed filelike into a decompressed filelike. Use it to decouple the
decompression step.

extend functionality of DecompressedStream

It now supports:
 * tell()
 * seek(absolute_position), forward only
 * close()
 * closed

This is sufficient for putting it as a fileobj into tarfile.TarFile. By
doing so we can decouple decompression from tar processing, which eases
papering over the Python 2.x vs Python 3.x differences.

importpkg: move the hash function list to the extractor class

They really are an aspect of the particular extractor and can easily be
changed by subclassing.

add a class DebExtractor for guiding feature extraction

It is supposed to separate the parsing of Debian packages (understanding
how the format works) from the actual feature extraction. Its goal is to
simplify writing custom extractors for different feature sets.

add a validate method to HashedStream

importpkg: use yaml dumper directly

Instead of carefully crafting an iterator to pass to yaml.safe_dump_all,
we simply take control on our own and call represent on a yaml dumper
object where needed.

importpkg: refactor commit handling out of process_package*

urlopen moved from urllib to urllib.request in py3k

process_control: do not encode to ascii

Otherwise the yaml will contain binary strings on py3k which end up as
binary data in the sqlite database. In py2, yaml can handle those
unicode objects just fine.

tempfile.mkdtemp does not like bytes in py3k

unquote moved from urllib to urllib.parse in py3k

element access on bytes yields int in py3k

zlib.crc32 behaves inconsistently on py2 vs py3

zlib.crc32 returns a int32_t on py2 and a uint32_t on py3.

there is no itertools.imap in py3k

use binary stdin on py3k

distinguish bytes from unicode for py3k

importpkg: be more liberal in control file naming

While in current sid packages the control file in control.tar is always
named "./control", some older packages name it "control".

improve schema documentation

wording, more NOT NULLs, some more explanations

add documentation to schema.sql

Thanks to Peter Palfrader for explaining what information is needed and
reviewing the documentation.

update copyright information

importpkg: reduce copy&paste

importpkg: add support for data.tar.lzma

Creating packages with lzma compression has been deprecated since dpkg
1.16.4, but there might be some of those in the wild and supporting them
is strightforward when xz is already supported.

Signed-off-by: Guillem Jover <guillem@debian.org>

importpkg: add support for control.tar and control.tar.xz

dpkg supports those since 1.17.6.

Signed-off-by: Guillem Jover <guillem@debian.org>

dedup.arreader: remove trailing slash from ar members

The GNU ar format adds a trailing slash to the member names, normalize
the member names to take this into account.

Signed-off-by: Guillem Jover <guillem@debian.org>

webapp: allow git-like hash truncation

autoimport: support protocols besides http

schema: make syntax compatible with postgres

Merge branch updatesharing-eqclass

spell check comments

fix spelling mistake

Reported-By: Stefan Kaltenbrunner

webapp: fix eqclass usage in package comparison

When comparing two packages, objects would be considered duplicates
without considering whether the respective hash functions are comparable
by checking their equivalence classes. The current set of hash functions
does not expose this bug.

update_sharing: weaken assumptions about db layout

Hash functions are partitioned into equivalence classes. We are
generally only interested in sharing among hash functions with the same
equivalence class, but the algorithm would compute any sharing. While
the current layout never produces the same hashes for functions in
difference equivalence classes (for different output length), that may
change in future.

Also allow hash functions, that belong to no equivalence class at all
(eqclass = NULL) as a means to add additional metadata to content
without computing any sharing for it.

blacklist content rather than hashes

Otherwise the gzip hash cannot tell the empty stream and the
compressed empty stream apart.

GzipDecompressor: don't treat checksum as garbage trailer