deps: Update github.com/evanw/esbuild v0.14.5 => v0.14.7

config/security: Add HOME to default exec env var whitelist

See #9309

modules: Set GOCACHE env var

This was introduced in Go 1.15. We do set the GOPATH, which should be enough, but #9309 indicate that's not the case on every platform (GitHub Actions).

Closes #9309

releaser: Prepare repository for 0.92.0-DEV

[ci skip]

releaser: Bump versions for release of 0.91.0

[ci skip]

releaser: Add release notes for 0.91.0
[ci skip]

releaser: Drop running tests as part of the release

docs: Regen docs helper

tpl/resources: Add empty method mapping for GetRemote

To get auto generated documentation for it.

Always use content to resolve content type in resources.GetRemote

This is a security hardening measure; don't trust the URL extension or any `Content-Type`/`Content-Disposition` header on its own, always look at the file content using Go's `http.DetectContentType`.

This commit also adds ttf and otf media type definitions to Hugo.

Fixes #9302
Fixes #9301

Add resources.GetRemote

In Hugo 0.89 we added remote support to `resources.Get`.

In hindsight that was not a great idea, as a poll from many Hugo users showed. See Issue #9285 for more details.

After this commit `resources.Get` only supports local resource lookups. If you want to support both, you need to use a construct similar to:

Also improve some option case handling.

```
{{ resource := "" }}
{{ if (urls.Parse $url).IsAbs }}
{{ $resource = resources.GetRemote $url }}
{{ else }}
{{ $resource = resources.Get $url }}
{{ end }}
```

Fixes #9285
Fixes #9296

Allow for return partials with falsy arguments (#9298)

Partials with returns values are parsed, then inserted into a
partial return wrapper via wrapInPartialReturnWrapper in order
to assign the return value via *contextWrapper.Set. The
predefined wrapper template for partials inserts a partial's nodes
into a "with" template action in order to set dot to a
*contextWrapper within the partial. However, because "with" is
skipped if its argument is falsy, partials with falsy arguments
were not being evaluated.

This replaces the "with" action in the partial wrapper with a
"range" action that isn't skipped if .Arg is falsy.

Fixes #7528

deps: Upgrade github.com/evanw/esbuild v0.14.2 => v0.14.5

don't use path.Join, because it cleans the final path

Add some basic security policies with sensible defaults

This ommmit contains some security hardening measures for the Hugo build runtime.

There are some rarely used features in Hugo that would be good to have disabled by default. One example would be the "external helpers".

For `asciidoctor` and some others we use Go's `os/exec` package to start a new process.

These are a predefined set of binary names, all loaded from `PATH` and with a predefined set of arguments. Still, if you don't use `asciidoctor` in your project, you might as well have it turned off.

You can configure your own in the new `security` configuration section, but the defaults are configured to create a minimal amount of site breakage. And if that do happen, you will get clear instructions in the loa about what to do.

The default configuration is listed below. Note that almost all of these options are regular expression _whitelists_ (a string or a slice); the value `none` will block all.

```toml
[security]
  enableInlineShortcodes = false
  [security.exec]
    allow = ['^dart-sass-embedded$', '^go$', '^npx$', '^postcss$']
    osEnv = ['(?i)^(PATH|PATHEXT|APPDATA|TMP|TEMP|TERM)$']

  [security.funcs]
    getenv = ['^HUGO_']

  [security.http]
    methods = ['(?i)GET|POST']
    urls = ['.*']
```

Simplify Babel test assertions

To make the tests pass on my grand old Windows 8 VM.

Merge commit '45e6fdb315d113ba13e20a633ed0c67e3f25170d'

Squashed 'docs/' changes from 316cec249..4eb10c1a9

4eb10c1a9 Set a sensible maxAge on the image cache
2c37f4f89 Update lists.md
8690c018f Update introduction.md
0458c3d88 Update index.md
150982f5e Update index.md
50dc0b6b9 Update multilingual.md
648598090 Configure image cache to use :cacheDir/images
4dfb523c3 Update introduction.md
b94d42e6f Add text to social images
d3253d2aa Add resources/_gen/images/ to .gitignore
8a56e1dfd Delete resources/_gen/images
1521e79b6 Update introduction.md
c7110a597 Update introduction.md
f7c4d220f Update introduction.md
c14ecf1ff Update introduction.md
c4b388c20 Fix shortcode in hugo-pipes/introduction (#1605)
d9876bd68 Update introduction.md
a39a532d5 Update introduction.md
fa8758122 netlify: Hugo 0.90.1
50cc40570 Update Contribute to Hugo Development
fc98fc82c Add .vscode dir to .gitignore (#1602)
8f8bcdefc Add frontmatter param to code-toggle shortcode (#1601)
f3b432c7c Add markdownlint configuration file (#1597)
7ea3aea92 netlify: Bump to 0.90.0
e2b6f990b docs: Regenerate docs helper
c02259e33 Merge commit '8d9511a08f14260cbfb73119e4afae50e5a9966d'
2e3573899 Add custom font support to images.Text
3186e6458 images: Text filter that draws text with the given options (#9239)
424f219eb tpl/transform: Optional options for highlight func
7993f17d0 Implement XML data support
1eb9d34cf Make resources.Get use a file cache for remote resources
8a0fffd56 Add remote support to resources.Get

git-subtree-dir: docs
git-subtree-split: 4eb10c1a9689aebf652011a6260a14bf8a3dcef4

Improve handling of remote image/jpeg resources (#9278)

Add jpe, jif, and jfif to image/jpeg extensions.
For remote image/jpeg without extension, always use jpg extension.

Closes #9275

Fix Dockerfile

Mage uses git, so we should install git before run mage.

Closes #9261

Remove debug statement

Fix deprecation notice

Asterisks needs to be quoted on command line.

releaser: Prepare repository for 0.91.0-DEV

[ci skip]

releaser: Bump versions for release of 0.90.1

[ci skip]

releaser: Add release notes for 0.90.1
[ci skip]

Remove the retries on error in remote resources.Get

Fixes #9271
See  #9259

Allow user to handle/ignore errors in resources.Get

In Hugo 0.90.0 we introduced remote support in `resources.Get`.

But with remote resources comes with a higher chance of failing a build (network issues, remote server down etc.).

Before this commit we always failed the build on any unexpected error.

This commit allows the user to check for any error (and potentially fall back to a default local resource):

```htmlbars
{{ $result := resources.Get "https://gohugo.io/img/hugo-logo.png" }}
{{ with $result }}
        {{ if .Err }}
        {{/* log the error, insert a default image etc. *}}
        {{ else }}
        <img src="{{ .RelPermalink }}" width="{{ .Width }}" height="{{ .Height }}" alt="">
        {{ end }}
{{ end }}
```

Note that the default behaviour is still to fail the build, but we will delay that error until you start using the `Resource`.

Fixes #9529

Make resource.Get return nil on 404 not found

This is in line with the interface declaration and also how local lookups work.

Fixes #9267

Update to Go 1.17.5

Fixes #9269

Update to Go 1.17.4 and remove timeout in resources.Get

Fixes #9265

releaser: Prepare repository for 0.91.0-DEV

[ci skip]

releaser: Bump versions for release of 0.90.0

[ci skip]

releaser: Add release notes for 0.90.0
[ci skip]

releaser: Simplify the release process

Make it into a one step even for major releases.

releaser: Remove unused code

docs: Regenerate docs helper

Merge commit '8d9511a08f14260cbfb73119e4afae50e5a9966d'

Squashed 'docs/' changes from 39a7fac34..316cec249

316cec249 Update future events template example (#1595)
3bde7d489 Install mage outside module (#1592)
762e27eff Clarify ignoreFiles regex matching
4d0032051 Add id attribute to h2 elements (#1590)
8262b077c Improve inline resource examples (#1587)
2eae7c7ec fix disqus example name (#1588)
a772f4804 Added install instructions for openSUSE Tumbleweed (#1459)
7ad1c301b Remove screen capture from Hosting on GitHub page (#1586)
a58541f49 add more details on about gh-pages and baseURL on hosting-on-github.md (#1346)
3bd0b46dc Update configuration page (#1585)
4cf1f013e Update OS functions
2c45a95c2 Remove getting-started/code-toggle/
40fdff598 Describe artificial language private use subtags (#1577)
91011d210 Remove google_news from list of internal templates (#1576)
36c7879e4 Update the .Unix function
731063488 Remove a showcase
818c371a0 Update index.md
3136d39d9 netlify: Hugo 0.89.4
092bc9278 Merge branch 'tempv0.89.4'
18e01f105 releaser: Add release notes to /docs for release of 0.89.4
79135281f Correct and sort list of target image formats (#1574)
af4170c7e netlify: Hugo 0.89.3
7f5444251 Merge branch 'tempv0.89.3'
a32e4a6c2 releaser: Add release notes to /docs for release of 0.89.3
6dd3dc3f9 Update configuration.md
5fbe741d7 Update index.md (#1570)
37a69496f netlify: Bump to Hugo 0.89.2
3b293f1f4 Merge branch 'tempv0.89.2'
64c934e7a releaser: Add release notes to /docs for release of 0.89.2
919c51c7d Update index.md
13dd463b1 netlify: Hugo 0.89.1
d8cda1474 releaser: Add release notes to /docs for release of 0.89.1
a2adf7742 releaser: Add release notes to /docs for release of 0.89.1
c3088c4fc Add code toggle to menus page (#1568)
2d0f38978 Remove blank lines from code-toggle output (#1564)
7cf058bfd Add localization examples (#1563)
cf8627c2e Fixing typos, fixing incomplete link (#1561)
c78cc014b Document the removePathAccents setting
70beddaf4 Make corrections to 0.89.0 release notes (#1560)
1917195f0 Update index.md
7fb8e070c Run hugo --gc
1772d45fb Release 0.89.0
d9006179b Merge branch 'tempv0.89.0'
8db86b61e releaser: Add release notes to /docs for release of 0.89.0
abf268571 docs: Regen CLI docs
fbbdb0ab1 Update the timeout default
9cbd1c15a Fix description of lang.FormatNumberCustom
6043b54cc Remove "render" keyword from Host on Render page
f8ea8e84f Clarify description of front matter url (#1557)
91a0c9954 Update Twitter shortcode oEmbed endpoint
79a7405b8 Merge commit 'aa5ac36a3eb68b86c803caec703869efefc8447e'
57667bae6 hugofs: Add includeFiles and excludeFiles to mount configuration
0c9ee0a04 Allow multiple plugins in the PostCSS options map
155799e6b docs: Create path.Clean documentation

git-subtree-dir: docs
git-subtree-split: 316cec2494dc5f908283289371d74f36a73d3d8d

Add custom font support to images.Text

Fixes #9253

images: Fix cache busting of image text filter

See #9238

build(deps): bump github.com/getkin/kin-openapi from 0.80.0 to 0.85.0

Bumps [github.com/getkin/kin-openapi](https://github.com/getkin/kin-openapi) from 0.80.0 to 0.85.0.
- [Release notes](https://github.com/getkin/kin-openapi/releases)
- [Commits](https://github.com/getkin/kin-openapi/compare/v0.80.0...v0.85.0)

---
updated-dependencies:
- dependency-name: github.com/getkin/kin-openapi
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

images: Text filter that draws text with the given options (#9239)

Fixes #9238

tpl/transform: Optional options for highlight func

Closes #9249
Fixes gohugoio/hugoDocs#63

deps: Upgrade github.com/evanw/esbuild v0.13.12 => v0.14.2 (note)

Note: ESBuild v0.14.0 contains backwards-incompatible changes, see https://github.com/evanw/esbuild/releases/tag/v0.14.0

Fixes #9244

releaser: Add "note" to Note regexp

build(deps): bump github.com/mitchellh/mapstructure from 1.4.2 to 1.4.3

Bumps [github.com/mitchellh/mapstructure](https://github.com/mitchellh/mapstructure) from 1.4.2 to 1.4.3.
- [Release notes](https://github.com/mitchellh/mapstructure/releases)
- [Changelog](https://github.com/mitchellh/mapstructure/blob/master/CHANGELOG.md)
- [Commits](https://github.com/mitchellh/mapstructure/compare/v1.4.2...v1.4.3)

---
updated-dependencies:
- dependency-name: github.com/mitchellh/mapstructure
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>

releaser: Rework and simplify to use GitHub only for release notes

build(deps): bump google.golang.org/api from 0.51.0 to 0.61.0

Bumps [google.golang.org/api](https://github.com/googleapis/google-api-go-client) from 0.51.0 to 0.61.0.
- [Release notes](https://github.com/googleapis/google-api-go-client/releases)
- [Changelog](https://github.com/googleapis/google-api-go-client/blob/main/CHANGES.md)
- [Commits](https://github.com/googleapis/google-api-go-client/compare/v0.51.0...v0.61.0)

---
updated-dependencies:
- dependency-name: google.golang.org/api
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

media: Add rss suffix for application/rss+xml

Closes #9233

parser: Add a test case in format resolution

See #9233

lazy: Reset error in Reset

To prevent sticky errors on server rebuilds.

Fixes #7043
Closes #9194

Implement XML data support

Example:

```
{{ with resources.Get "https://example.com/rss.xml" | transform.Unmarshal }}
    {{ range .channel.item }}
        <strong>{{ .title | plainify | htmlUnescape }}</strong><br />
        <p>{{ .description | plainify | htmlUnescape }}</p>
        {{ $link := .link | plainify | htmlUnescape }}
        <a href="{{ $link }}">{{ $link }}</a><br />
        <hr>
    {{ end }}
{{ end }}
```

Closes #4470

Validate private use language tags

Fixes #9119

resources: Add timeout to the HTTP request in Get

Workaround for https://github.com/golang/go/issues/49366

Add a remote retry for resources.Get

Make resources.Get use a file cache for remote resources

Closes #9228

Remove empty href element from pagination template

Closes #9149

Check for empty deployment targets and matchers

Fixes #9220

resources: Adjust the remote Get cache so it does not get evicted on restarts

We fill improve this, soon.

Add remote support to resources.Get

Closes #5255
Supports #9044

Add deprecation warning to google_news template

Closes #9172

helpers: Make UniqueStringsReuse allocation free

This should be faster for all of our use cases (small string slices), but more important, it makes UniqueStringsReuse allocation free.

```bash
name                                 old time/op    new time/op    delta
UniqueStrings/Safe-16                   776ns ± 0%     305ns ± 0%   -60.68%  (p=0.029 n=4+4)
UniqueStrings/Reuse_slice-16            621ns ± 3%     174ns ± 0%   -72.01%  (p=0.029 n=4+4)
UniqueStrings/Reuse_slice_sorted-16     319ns ± 4%     313ns ± 0%    -2.01%  (p=0.029 n=4+4)

name                                 old alloc/op   new alloc/op   delta
UniqueStrings/Safe-16                    224B ± 0%      128B ± 0%   -42.86%  (p=0.029 n=4+4)
UniqueStrings/Reuse_slice-16            96.0B ± 0%      0.0B       -100.00%  (p=0.029 n=4+4)
UniqueStrings/Reuse_slice_sorted-16     24.0B ± 0%     24.0B ± 0%      ~     (all equal)

name                                 old allocs/op  new allocs/op  delta
UniqueStrings/Safe-16                    7.00 ± 0%      1.00 ± 0%   -85.71%  (p=0.029 n=4+4)
UniqueStrings/Reuse_slice-16             6.00 ± 0%      0.00       -100.00%  (p=0.029 n=4+4)
UniqueStrings/Reuse_slice_sorted-16      1.00 ± 0%      1.00 ± 0%      ~     (all equal)
```

releaser: Prepare repository for 0.90.0-DEV

[ci skip]

releaser: Add release notes to /docs for release of 0.89.4

[ci skip]

releaser: Bump versions for release of 0.89.4

[ci skip]

releaser: Add release notes for 0.89.4
[ci skip]

Fix content dir resolution when main project is a Hugo Module

Fixes #9177

releaser: Prepare repository for 0.90.0-DEV

[ci skip]

releaser: Add release notes to /docs for release of 0.89.3

[ci skip]

releaser: Bump versions for release of 0.89.3

[ci skip]

releaser: Add release notes for 0.89.3
[ci skip]

Improve error when we cannot determine content directory in "hugo new"

See #9166

deps: Upgrade github.com/yuin/goldmark v1.4.3 => v1.4.4

Fixes #9159

commands: Make sure pollInterval is always set

Fixes #9165

create: Improve archetype directory discovery and tests

Updates #9146

create: Add a log statement when archetype is a directory

See #9157

create: Always print "Content ... created"

This indeliberately changed to INFO level in Hugo 0.89.0.

Fixes #9157

commands: Fix missing file locking in server partial render

Fixes #9162

modules: Improve error message

releaser: Prepare repository for 0.90.0-DEV

[ci skip]

releaser: Add release notes to /docs for release of 0.89.2

[ci skip]

releaser: Bump versions for release of 0.89.2

[ci skip]

releaser: Add release notes for 0.89.2
[ci skip]

Fix path resolution in hugo new

With theme and project with content directories and command on the form `hugo new posts/test.md`.

Fixes #9129

deps: Upgrade github.com/yuin/goldmark v1.4.2 => v1.4.3

Fixes #9137

releaser: Prepare repository for 0.90.0-DEV

[ci skip]

releaser: Add release notes to /docs for release of 0.89.1

[ci skip]

releaser: Bump versions for release of 0.89.1

[ci skip]

releaser: Add release notes for 0.89.1
[ci skip]

Revert "releaser: Fat MacOS binaries"

This had some side effect that I'm not prepared to fix today ...

This reverts commit 3a977485eb7d5f913da5cc10ef58715ffd273613.

Updates #9131
Updates #9128

create: Make sure the build lock is released before we open editor

Fixes #9121

readme: Update dependency list

releaser: Prepare repository for 0.90.0-DEV

[ci skip]

releaser: Add release notes to /docs for release of 0.89.0

[ci skip]

releaser: Bump versions for release of 0.89.0

[ci skip]

releaser: Add release notes for 0.89.0

docs: Regen CLI docs

source: Make ContentBaseName() return the directory for branch bundles

Fixes #9112

Fix description of lang.FormatNumberCustom

It currently refers to itself as a simple alternative, when it should
refer to lang.FormatNumber.

Update Twitter shortcode oEmbed endpoint

The existing endpoint will be retired and removed on November 23, 2021.
References:

- https://twittercommunity.com/t/consolidating-the-oembed-functionality/154690
- https://developer.twitter.com/en/docs/twitter-for-websites/oembed-api#Embedded

This is a backward compatible change.

The existing endpoint requires a single parameter: the id of the tweet.

The new endpoint requires two parameters: the id of the tweet, and the
user with whom it is associated. For the moment, if you supply the wrong
user, the request will be redirected (with a small delay) to the correct
user/id pair. This behavior is undocumented, but we will take advantage
of it as Hugo site authors transition to the new syntax.

{{< tweet 1453110110599868418 >}} --> works, throws warning, deprecate at some point

{{< tweet user="SanDiegoZoo" id="1453110110599868418" >}} --> new syntax

Fixes #8130