Released 3.6.0

fuse_lowlevel: Add max_pages support (#384)

Starting with kernel version 4.20 fuse supports a new property
'max_pages' which is the maximum number of pages that can be used per
request. This can be set via an argument during initialization.
This new property allows writes to be larger than 128k.

This patch sets the property if the matching capability is set
(FUSE_MAX_PAGES). It will also set max_write to 1MiB. Filesystems have
the possibility to decrease this size by setting max_write to a smaller
size. The max_pages and bufsize fields are adjusted accordingly.

Cc: Constantine Shulyupin <const@MakeLinux.com>
Signed-off-by: Markus Pargmann <scosu@quobyte.com>

Avoid pointer arithmetic with `void *`

The pointer operand to the binary `+` operator must be to a complete
object type. Since we are working with byte sizes, use `char *` instead.

Don't return expression in function returning void

This is a constraint violation in ISO C[0].

[0] http://port70.net/~nsz/c/c11/n1570.html#6.8.6.4p1

Don't omit second operand to `?` operator

This is a GNU C extension.

Remove incorrect comment about fuse_entry_param.generation (#420)

A comment said that fuse_entry_param.generation must be non-zero.
However, I can't find anything in the kernel that requires that, and
real-world file systems don't seem to follow that advice, either.

passthrough: fix unix-domain sockets on FreeBSD (#413)

FreeBSD doesn't allow creating sockets using mknod(2). Instead, one has to use socket(2)
and bind(2).  Add appropriate logic to the examples and add a test case.

Fix includes of non-system headers.

Fixes: #415.

Added new example filesystem

passthrough_hp puts emphasis and performance and correctness, rather
than simplicity.

add defines for missing SECBITs on older kernels (#409)

Fixed type of ioctl command parameter.

Fixed permissions.

Fixed Cirrus Config (#405)

Add CI for FreeBSD (#404)

Fixes #403

Added issue template.

Added information about development status.

Add fallocate and use it instead of posix_fallocate if possible (#398)

fuse.ko has supported FALLOC_FL_KEEP_SIZE and FALLOC_FL_PUNCH_HOLE at this
moment and more modes may be supported in the future.

fallocate(2) supports modes while posix_fallocate(2) does not, so this
makes lo_fallocate use fallocate(2) instead.

Signed-off-by: Liu Bo <bo.liu@linux.alibaba.com>

Released 3.5.0

Add documentation for opting out of opendir and releasedir (#391)

Bump minor version

cache_readdir flag is a new feature.

Add support for in-kernel readdir caching.

Fixes: #394.

Synchronize fuse_kernel.h with current kernel 

Delete FUSE_FSYNC_FDATASYNC

This constant is not defined in the kernel, so it will be lost when
fuse_kernel.h is not synchronized. Instead, the kernel just passes a
flag value of "1", so for now we also use a literal in userspace.

Various documentation improvements

See issue #389 for some related discussions.

Whitelist smb2 (#392)

See also https://bugzilla.redhat.com/1694552#c7
Signed-off-by: Peter Lemenkov <lemenkov@gmail.com>

Defined the (*ioctl)() commands as unsigned int (#381)

Instead of the Posix ioctl(2) command, Linux uses its own variant of ioctl()
in which the commands are requested as "unsigned long" and truncated to
32 bits by the fuse kernel module. Transmitting the commands to user space
file systems as "unsigned int" is a workaround for processing ioctl()
commands which do not fit into a signed int.

Define ALLPERMS for musl libc systems. (#379)

Improve documentation for the flush method (#378)

Fixes: #373

Released 3.4.2

Improve readdir() and file handle documentation

Fixes: #333

Add HFS+ to filesystem whitelist (#347)

Work around -Wformat-truncation=/-Wformat-overflow= warnings (#356)

sprintf(3)/snprintf(3) destination buffers need to be large enough
so that gcc doesn't warn -Wformat-truncation= or -Wformat-overflow=
when source buffer size is 1024 bytes.

--
../test/test_syscalls.c:1445:47: warning: '%s' directive output may be truncated writing 1 byte into a region of size between 0 and 1023 [-Wformat-truncation=]
 #define PATH(p)  (snprintf(path, sizeof path, "%s/%s", testdir, p), path)
                                               ^~~~~~~
../test/test_syscalls.c:1458:19:
  res = mkdir(PATH("a"), 0755);
                   ~~~

Signed-off-by: Tomohiro Kusumi <kusumi.tomohiro@gmail.com>

Correctly include config.h ("" vs <>)

This isn't a system header.

Fixes: #349

Fix the changelog entry for protocol version 7.12 (#374)

Commit 24b35c3d97ffdbf0a1f8e8b4e94ed892343603a6 had a simple mistake in
its changelog entry.

fusermount: drop privileges for chdir()

cd to mountpoint's parent directory using unprivileged rather than
privileged access. This is to ensure that unmount works on mountpoints
where root may not have privileged access.

Fixes: #376

Document fuse_fsync_in.fsync_flags and remove magic numbers (#375)

Link against libiconv when possible (#372)

Travis CI: Use Xenial instead of Trusty.

hello_ll: Fix null pointer dereference (#363)

If hello_ll is invoked without a mountpoint, it will try to call
fuse_session_mount anyway with the NULL mountpoint (which then causes a
segfault). Print out a short help message instead (taken from
passthrough_ll.c).

fuse_free_buf(): to check flags of each buffer, rather than only 0th

Fixes: #360

passthrough_ll: lo_create() should honor CACHE_NEVER (#345)

lo_create() did not honour CACHE_NEVER in lo_create(), which has an effect
on how I/O is performed after the open.

The value of CACHE_ALWAYS, which results in setting fi->keep_cache, only
has an effect for the state of the cache at open, and since the file was
just created the cache is always empty.  Hence setting this doesn't have an
effect on lo_create(), but keep it for symmetry with lo_open().

Clarify documentation of fuse_lowlevel_inval_inode

Fixes: #341.

Add support for buildin under DragonFly BSD

70e25ea74e("Fix build on non-Linux") broke build on DragonFly BSD,
or likely anything other than FreeBSD and NetBSD that is not Linux.

Signed-off-by: Tomohiro Kusumi <kusumi.tomohiro@gmail.com>

Added OpenAFS to type whitelist

Fixes: #336.

Fixed memory leak.

Fixes: #338.

Added missing date to Changelog.

Released 3.4.1

fix memory leak in print_module_help method

Fix fd/inode leak

If do_readdir() calls do_lookup(), but the latter fails, we still have
to return any entries that we already stored in the readdir buffer to
avoid leaking inodes.

do_lookup() may fail if e.g. we reach the file descriptor limit.

Avoid needless telldir() call.

Fixed lookup-count leak in do_readdir().

Added testcase for "big" readdir.

Don't segfault when called with -h.

Fixes: #327

Added .ackrc

Kill filesystem process on test cleanup.

tests: add copy_file_range() to the syscall tests

examples: add copy_file_range() support to passthrough(_fh)

The passthrough example filesystem can be used for validating the API
and the implementation in the FUSE kernel module.

libfuse: add copy_file_range() support

Add support for the relatively new copy_file_range() syscall. Backend
filesystems can now implement an efficient way of cloning/duplicating
data ranges within files. See 'man 2 copy_file_range' for more details.

Update kernel API headers

Taken from Linux kernel commit 3b7008b226f3.

Fix mounting on FreeBSD

Currently, mounting on FreeBSD fails like this:

 mount_fusefs: ZZZZ<snip> on /mountpoint: No such file or directory

This happens because right after doing argv[a++] = fdnam it's
getting freed before calling execvp().

So move this free() call after execvp(). Also, when asprintf()
fails for fdnam, close device fd before calling exit().

Fix build on non-Linux

 * Update meson.build to add mount_util.c to libfuse_sources
   unconditionally, it's non Linux-only
 * FreeBSD, like NetBSD, doesn't have mntent.h, so don't include
   that and define IGNORE_MTAB for both
 * FreeBSD, like NetBSD, has no umount2() sysctl, so similarly define
   it to unmount()

Don't crash if mountpoint is not specified.

Fixes: #319.

Released 3.3.0

Update CI build script

There is no gcc-6 package anymore.

Revert "Do not include struct fuse_buf in struct fuse_worker"

This reverts commit 161983e2416bc6e26bbbe89664fff62c48c70858,
because this causes resource leaks when threads are terminated
by pthread_cancel().

Fixes: #313.

Avoid double unmount on normal unmount in auto_unmount mode.

If a fuse filesystem was mounted in auto_unmount mode on top of an
already mounted filesystem, we would end up doing a double-unmount
when the fuse filesystem was unmounted properly.

Make the auto_unmount code less eager: unmount only if the mounted
filesystem has proper type and is returning 'Transport endpoint not
connected'.

Document when  `fuse_lowlevel_notify_*` functions may block.

Add SpectrumScale/GPFS and Lustre to FS whitelist

Fixes: #304
Signed-off-by: Valentin Plugaru <valentin.plugaru@uni.lu>

Do not fail "ninja test" when running as subproject

Bump minimum Meson version

According to user reports (https://github.com/libfuse/libfuse/pull/300),
we need at least version 0.42.

Clarified licensing terms.

Fixes: #213.

Enable more tests for passthrough_ll

passthrough_ll: initialize unused memory

For '.' and '..' entries only the file type in e.attr.st_mode and the inode
number in e.attr.st_ino are used.  But it's prudent to at least initialize
the other fields of struct fuse_entry_param as well, instead of using
random values from the stack.

passthrough_ll: allow configuring caching

Caching can be controlled with the following options:

 "cache=never": disable caching
 "cache=normal": enable caching but also refresh after the timeout
 "cache=always": never refresh cache

The timeout can be controlled with the "timeout=SEC" option, where SEC is
the number of seconds and can be an arbitrary non-negative floating point
number.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add *xattr() operations

The extended attribute functionality is enabled with the "xattr" option
(default) and disabled with the "no_xatt" option.

New operations added:

 - getxattr
 - listxattr
 - setxattr
 - removexattr

Caveat: none of these operations will work on a symbolic link, because it's
difficult to implement that without races that can result in incorrect
operation.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add flock()

Conditionally enable flock() locking on underlying filesystem, based on the
flock/no_flock options.  Default is "no_flock", meaning locking will be
local to the fuse filesystem and won't be propagated to the filesystem
passed through.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: whitespace cleanup

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add forget_multi()

Add method forget_multi() to forget multiple inodes in a single message.

Signed-off-by: Vivek Goyal <vgoyal@redhat.com>
Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add source option

Right now, passthrough_ll will use "/" as source directory for passthrough.
We need more flexibility where user can specify path of directory to be
passed through.  Hence add an option "source=<source-dir>".

Signed-off-by: Vivek Goyal <vgoyal@redhat.com>
Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add some of the missing operations

New operations added:

 - mkdir
 - mknod
 - symlink
 - link
 - unlink
 - rmdir
 - rename
 - setattr
 - fsyncdir
 - flush
 - fsync
 - statfs
 - fallocate

Caveats:

 - The utimes(2) family of syscalls will fail on symlinks on 4.18 and
   earlier kernels.  Hoping to add support to later kernels.

 - The link(2) and linkat(2) system calls will fail on symlinks unless running
   with privileges (CAP_DAC_READ_SEARCH).

Signed-off-by: Vivek Goyal <vgoyal@redhat.com>
Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add is_symlink to lo_inode

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: set umask at startup

Like all the other passthrough examples.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: fix refcount for "." and ".." entries

Kernel is not expecting an elevated lookup count for the "." and ".."
entries when doing READDIRPLUS.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

passthrough_ll: add locking to inode cache

Otherwise it may crash when running multithreaded.

Signed-off-by: Miklos Szeredi <mszeredi@redhat.com>

Add unprivileged option in `mount.fuse3`

The unprivileged option allows to run the FUSE file system process
without privileges by dropping capabilities and preventing them from
being re-acquired via setuid / fscaps etc. To accomplish this,
mount.fuse sets up the `/dev/fuse` file descriptor and mount itself
and passes the file descriptor via the `/dev/fd/%u` mountpoint syntax
to the FUSE file system.

Allow passing `/dev/fuse` file descriptor from parent process

This adds support for a mode of operation in which a privileged parent
process opens `/dev/fuse` and takes care of mounting. The FUSE file
system daemon can then run as an unprivileged child that merely
processes requests on the FUSE file descriptor, which get passed using
the special `/dev/fd/%u` syntax for the mountpoint parameter.

The main benefit is that no privileged operations need to be performed
by the FUSE file system daemon itself directly or indirectly, so the
FUSE process can run with fully unprivileged and mechanisms like
securebits and no_new_privs can be used to prevent subprocesses from
re-acquiring privilege via setuid, fscaps, etc. This reduces risk in
case the FUSE file system gets exploited by malicious file system
data.

Below is an example that illustrates this. Note that I'm using shell
for presentation purposes, the expectation is that the parent process
will implement the equivalent of the `mount -i` and `capsh` commands.

```
\# example/hello can mount successfully with privilege
$ sudo sh -c "LD_LIBRARY_PATH=build/lib ./example/hello /mnt/tmp"
$ sudo cat /mnt/tmp/hello
Hello World!
$ sudo umount /mnt/tmp

\# example/hello fails to mount without privilege
$ sudo capsh --drop=all --secbits=0x2f -- -c 'LD_LIBRARY_PATH=build/lib ./example/hello -f /mnt/tmp'
fusermount3: mount failed: Operation not permitted

\# Passing FUSE file descriptor via /dev/fd/%u allows example/hello to work without privilege
$ sudo sh -c '
      exec 17<>/dev/fuse
      mount -i -o nodev,nosuid,noexec,fd=17,rootmode=40000,user_id=0,group_id=0 -t fuse hello /mnt/tmp
      capsh --drop=all --secbits=0x2f -- -c "LD_LIBRARY_PATH=build/lib example/hello /dev/fd/17"
    '
$ sudo cat /mnt/tmp/hello
Hello World!
$ sudo umount /mnt/tmp
```

Add build options for utils and examples

Allow skipping utils build & installation (-Dutils=false) and examples
build (-Dexamples=false). By default behaviour is unchanged (both are
true: utils and examples get build).

Fix unlink errno check

Clarify what qualifies as a "related operation" for notify_inval_entry.

Don't enable adaptive readdirplus unless fs has readdir() handler.

Do not include struct fuse_buf in struct fuse_worker

This is only used in fuse_do_work(), so we can put it on
the stack.

Don't special-case bulid of mount_util.c.

We already support out of source builds without this.

Released 3.2.6

Do not hardcode /etc/fuse.conf path.

Updated ChangeLog with recent changes.

return different non-zero error codes (#290)

Return different error codes from fuse_main()

Fix memory leak of FUSE modules

Fix invalid free of memory pointer in 'struct fuse_buf'

Make meson build scripts subprojects friendly

Multiple meson build scripts improvements including:
 * Bump meson requirement to 0.40.1 (0.40 already required)
 * Declare a dependency object for main library
 * Stop using add_global_arguments()
 * Various minor style fixes

Add bcachefs to mountpoint file system whitelist