patch and a few comments
[ikiwiki.git] / doc / plugins / po.mdwn
1 [[!template id=plugin name=po core=0 author="[[intrigeri]]"]]
2 [[!tag type/format]]
3
4 This plugin adds support for multi-lingual wikis, translated with
5 gettext, using [po4a](http://po4a.alioth.debian.org/).
6
7 It depends on the Perl `Locale::Po4a::Po` library (`apt-get install po4a`).
8
9 [[!toc levels=2]]
10
11 Introduction
12 ============
13
14 A language is chosen as the "master" one, and any other supported
15 language is a "slave" one.
16
17 A page written in the "master" language is a "master" page. It can be
18 of any page type supported by ikiwiki, except `po`. It does not have to be
19 named a special way: migration to this plugin does not imply any page
20 renaming work.
21
22 Example: `bla/page.mdwn` is a "master" Markdown page written in
23 English; if `usedirs` is enabled, it is rendered as
24 `bla/page/index.en.html`, else as `bla/page.en.html`.
25
26 Any translation of a "master" page into a "slave" language is called
27 a "slave" page; it is written in the gettext PO format. `po` is now
28 a page type supported by ikiwiki.
29
30 Example: `bla/page.fr.po` is the PO "message catalog" used to
31 translate `bla/page.mdwn` into French; if `usedirs` is enabled, it is
32 rendered as `bla/page/index.fr.html`, else as `bla/page.fr.html`
33
34
35 Configuration
36 =============
37
38 Supported languages
39 -------------------
40
41 `po_master_language` is used to set the "master" language in
42 `ikiwiki.setup`, such as:
43
44         po_master_language => { 'code' => 'en', 'name' => 'English' }
45
46 `po_slave_languages` is used to set the list of supported "slave"
47 languages, such as:
48
49         po_slave_languages => { 'fr' => 'Français',
50                                 'es' => 'Castellano',
51                                 'de' => 'Deutsch',
52         }
53
54 Decide which pages are translatable
55 -----------------------------------
56
57 The `po_translatable_pages` setting configures what pages are
58 translatable. It is a [[ikiwiki/PageSpec]], so you have lots of
59 control over what kind of pages are translatable.
60
61 The `.po` files are not considered as being translatable, so you don't need to
62 worry about excluding them explicitly from this [[ikiwiki/PageSpec]].
63
64 Internal links
65 --------------
66
67 The `po_link_to` option in `ikiwiki.setup` is used to decide how
68 internal links should be generated, depending on web server features
69 and site-specific preferences.
70
71 ### Default linking behavior
72
73 If `po_link_to` is unset, or set to `default`, ikiwiki's default
74 linking behavior is preserved: `\[[destpage]]` links to the master
75 language's page.
76
77 ### Link to current language
78
79 If `po_link_to` is set to `current`, `\[[destpage]]` links to the
80 `destpage`'s version written in the current page's language, if
81 available, *i.e.*:
82
83 - `foo/destpage/index.LL.html` if `usedirs` is enabled
84 - `foo/destpage.LL.html` if `usedirs` is disabled
85
86 ### Link to negotiated language
87
88 If `po_link_to` is set to `negotiated`, `\[[page]]` links to the
89 negotiated preferred language, *i.e.* `foo/page/`.
90
91 (In)compatibility notes:
92
93 - if `usedirs` is disabled, it does not make sense to set `po_link_to`
94   to `negotiated`; this option combination is neither implemented
95   nor allowed.
96 - if the web server does not support Content Negotiation, setting
97   `po_link_to` to `negotiated` will produce a unusable website.
98
99
100 Server support
101 ==============
102
103 Apache
104 ------
105
106 Using Apache `mod_negotiation` makes it really easy to have Apache
107 serve any page in the client's preferred language, if available.
108 This is the default Debian Apache configuration.
109
110 When `usedirs` is enabled, one has to set `DirectoryIndex index` for
111 the wiki context.
112
113 Setting `DefaultLanguage LL` (replace `LL` with your default MIME
114 language code) for the wiki context can help to ensure
115 `bla/page/index.en.html` is served as `Content-Language: LL`.
116
117 lighttpd
118 --------
119
120 lighttpd unfortunately does not support content negotiation.
121
122 **FIXME**: does `mod_magnet` provide the functionality needed to
123  emulate this?
124
125
126 Usage
127 =====
128
129 Templates
130 ---------
131
132 When `po_link_to` is not set to `negotiated`, one should replace some
133 occurrences of `BASEURL` with `HOMEPAGEURL` to get correct links to
134 the wiki homepage.
135
136 The `ISTRANSLATION` and `ISTRANSLATABLE` variables can be used to
137 display things only on translatable or translation pages.
138
139 ### Display page's versions in other languages
140
141 The `OTHERLANGUAGES` loop provides ways to display other languages'
142 versions of the same page, and the translations' status.
143
144 One typically adds the following code to `templates/page.tmpl`:
145
146         <TMPL_IF NAME="OTHERLANGUAGES">
147         <div id="otherlanguages">
148           <ul>
149           <TMPL_LOOP NAME="OTHERLANGUAGES">
150             <li>
151               <a href="<TMPL_VAR NAME="URL">"><TMPL_VAR NAME="LANGUAGE"></a>
152               <TMPL_UNLESS NAME="MASTER">
153                 (<TMPL_VAR NAME="PERCENT">&nbsp;%)
154               </TMPL_UNLESS>
155             </li>
156           </TMPL_LOOP>
157           </ul>
158         </div>
159         </TMPL_IF>
160
161 The following variables are available inside the loop (for every page in):
162
163 - `URL` - url to the page
164 - `CODE` - two-letters language code
165 - `LANGUAGE` - language name (as defined in `po_slave_languages`)
166 - `MASTER` - is true (1) if, and only if the page is a "master" page
167 - `PERCENT` - for "slave" pages, is set to the translation completeness, in percents
168
169 ### Display the current translation status
170
171 The `PERCENTTRANSLATED` variable is set to the translation
172 completeness, expressed in percent, on "slave" pages.
173
174 One can use it this way:
175
176         <TMPL_IF NAME="ISTRANSLATION">
177         <div id="percenttranslated">
178           <TMPL_VAR NAME="PERCENTTRANSLATED">
179         </div>
180         </TMPL_IF>
181
182 Additional PageSpec tests
183 -------------------------
184
185 This plugin enhances the regular [[ikiwiki/PageSpec]] syntax with some
186 additional tests that are documented [[here|ikiwiki/pagespec/po]].
187
188 Automatic PO file update
189 ------------------------
190
191 Committing changes to a "master" page:
192
193 1. updates the POT file and the PO files for the "slave" languages;
194    the updated PO files are then put under version control;
195 2. triggers a refresh of the corresponding HTML slave pages.
196
197 Also, when the plugin has just been enabled, or when a page has just
198 been declared as being translatable, the needed POT and PO files are
199 created, and the PO files are checked into version control.
200
201 Discussion pages
202 ----------------
203
204 Discussion should happen in the language in which the pages are
205 written for real, *i.e.* the "master" one. If discussion pages are
206 enabled, "slave" pages therefore link to the "master" page's
207 discussion page.
208
209 Translating
210 -----------
211
212 One can edit the PO files using ikiwiki's CGI (a message-by-message
213 interface could also be implemented at some point).
214
215 If [[tips/untrusted_git_push]] is setup, one can edit the PO files in one's
216 preferred `$EDITOR`, without needing to be online.
217
218 TODO
219 ====
220
221 Security checks
222 ---------------
223
224 ### Security history
225
226 The only past security issues I could find in GNU gettext and po4a
227 are:
228
229 - [CVE-2004-0966](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2004-0966),
230   *i.e.* [Debian bug #278283](http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=278283):
231   the autopoint and gettextize scripts in the GNU gettext package
232   1.14 and later versions, as used in Trustix Secure Linux 1.5
233   through 2.1 and other operating systems, allows local users to
234   overwrite files via a symlink attack on temporary files.
235 - [CVE-2007-4462](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4462):
236   `lib/Locale/Po4a/Po.pm` in po4a before 0.32 allows local users to
237   overwrite arbitrary files via a symlink attack on the
238   gettextization.failed.po temporary file.
239
240 **FIXME**: check whether this plugin would have been a possible attack
241 vector to exploit these vulnerabilities.
242
243 Depending on my mood, the lack of found security issues can either
244 indicate that there are none, or reveal that no-one ever bothered to
245 find (and publish) them.
246
247 ### PO file features
248
249 Can any sort of directives be put in po files that will cause mischief
250 (ie, include other files, run commands, crash gettext, whatever)?
251
252 > No [documented](http://www.gnu.org/software/gettext/manual/gettext.html#PO-Files)
253 > directive is supposed to do so. [[--intrigeri]]
254
255 ### Running po4a on untrusted content
256
257 Are there any security issues on running po4a on untrusted content?
258
259 To say the least, this issue is not well covered, at least publicly:
260
261 - the documentation does not talk about it;
262 - grep'ing the source code for `security` or `trust` gives no answer.
263
264 On the other hand, a po4a developer answered my questions in
265 a convincing manner, stating that processing untrusted content was not
266 an initial goal, and analysing in detail the possible issues.
267
268 #### Already checked
269
270 - the core (`Po.pm`, `Transtractor.pm`) should be safe
271 - po4a source code was fully checked for other potential symlink
272   attacks, after discovery of one such issue
273 - the only external program run by the core is `diff`, in `Po.pm` (in
274   parts of its code we don't use)
275 - `Locale::gettext`: only used to display translated error messages
276 - Nicolas François "hopes" `DynaLoader` is safe, and has "no reason to
277   think that `Encode` is not safe"
278 - Nicolas François has "no reason to think that `Encode::Guess` is not
279   safe". The po plugin nevertheless avoids using it by defining the
280   input charset (`file_in_charset`) before asking `Transtractor` to
281   read any file. NB: this hack depends on po4a internals to stay
282   the same.
283
284 #### To be checked
285
286 ##### Locale::Po4a modules
287
288 The modules we want to use have to be checked, as not all are safe
289 (e.g. the LaTeX module's behaviour is changed by commands included in
290 the content); they may use regexps generated from the content.
291
292 `Chooser.pm` only loads the plugin we tell it too: currently, this
293 means the `Text` module only.
294
295 `Text` module (I checked the CVS version):
296
297 - it does not run any external program
298 - only `do_paragraph()` builds regexp's that expand untrusted
299   variables; they seem safe to me, but someone more expert than me
300   will need to check. Joey?
301
302   > Freaky code, but seems ok due to use of `quotementa`.
303
304 ##### Text::WrapI18N
305
306 `Text::WrapI18N` can cause DoS (see the
307 [Debian bug #470250](http://bugs.debian.org/470250)), but it is
308 optional and we do not need the features it provides.
309
310 It is loaded if available by `Locale::Po4a::Common`; looking at the
311 code, I'm not sure we can prevent this at all, but maybe some symbol
312 table manipulation tricks could work; overriding
313 `Locale::Po4a::Common::wrapi18n` may be easier. I'm no expert at all
314 in this field. Joey? [[--intrigeri]]
315
316 > Update: Nicolas François suggests we add an option to po4a to
317 > disable it. It would do the trick, but only for people running
318 > a brand new po4a (probably too late for Lenny). Anyway, this option
319 > would have to take effect in a `BEGIN` / `eval` that I'm not
320 > familiar with. I can learn and do it, in case no Perl wizard
321 > volunteers to provide the po4a patch. [[--intrigeri]]
322
323 >> That doesn't really need to be in a BEGIN. This patch moves it to
324 >> `import`, and makes this disable wrap18n:
325 >> `use Locale::Po4a::Common q{nowrapi18n}` --[[Joey]]
326
327 <pre>
328 --- /usr/share/perl5/Locale/Po4a/Common.pm      2008-07-21 14:54:52.000000000 -0400
329 +++ Common.pm   2008-11-11 18:27:34.000000000 -0500
330 @@ -30,8 +30,16 @@
331  use strict;
332  use warnings;
333  
334 -BEGIN {
335 -    if (eval { require Text::WrapI18N }) {
336 +sub import {
337 +    my $class=shift;
338 +    my $wrapi18n=1;
339 +    if ($_[0] eq 'nowrapi18n') {
340 +       shift;
341 +       $wrapi18n=0;
342 +    }
343 +    $class->export_to_level(1, $class, @_);
344 +
345 +    if ($wrapi18n && eval { require Text::WrapI18N }) {
346      
347          # Don't bother determining the wrap column if we cannot wrap.
348          my $col=$ENV{COLUMNS};
349 </pre>
350
351 ##### Term::ReadKey
352
353 `Term::ReadKey` is not a hard dependency in our case, *i.e.* po4a
354 works nicely without it. But the po4a Debian package recommends
355 `libterm-readkey-perl`, so it will probably be installed on most
356 systems using the po plugin.
357
358 If `$ENV{COLUMNS}` is not set, `Locale::Po4a::Common` uses
359 `Term::ReadKey::GetTerminalSize()` to get the terminal size. How safe
360 is this?
361
362 Part of `Term::ReadKey` is written in C. Depending on the runtime
363 platform, this function use ioctl, environment, or C library function
364 calls, and may end up running the `resize` command (without
365 arguments).
366
367 IMHO, using Term::ReadKey has too far reaching implications for us to
368 be able to guarantee anything wrt. security. Since it is anyway of no
369 use in our case, I suggest we define `ENV{COLUMNS}` before loading
370 `Locale::Po4a::Common`, just to be on the safe side. Joey?
371 [[--intrigeri]]
372
373 > Update: adding an option to disable `Text::WrapI18N`, as Nicolas
374 > François suggested, would as a bonus disable `Term::ReadKey`
375 > as well. [[--intrigeri]]
376
377 ### msgmerge
378
379 `refreshpofiles()` runs this external program. A po4a developer
380 answered he does "not expect any security issues from it".
381
382 ### Fuzzing input
383
384 I was not able to find any public information about gettext or po4a
385 having been tested with a fuzzing program, such as `zzuf` or `fusil`.
386 Moreover, some gettext parsers seem to be quite
387 [easy to crash](http://fusil.hachoir.org/trac/browser/trunk/fuzzers/fusil-gettext),
388 so it might be useful to bang msgmerge/po4a's heads against such
389 a program in order to easily detect some of the most obvious DoS.
390 [[--intrigeri]]
391
392 > po4a was not fuzzy-tested, but according to one of its developers,
393 > "it would be really appreciated". [[--intrigeri]]
394
395 Test conditions:
396
397 - a 21M file containing 100 concatenated copies of all the files in my
398   `/usr/share/common-licenses/`; I had no existing PO file or
399   translated versions at hand, which renders these tests
400   quite incomplete.
401 - po4a was the Debian 0.34-2 package; the same tests were also run
402   after replacing the `Text` module with the CVS one (the core was not
403   changed in CVS since 0.34-2 was released), without any significant
404   difference in the results.
405 - Perl 5.10.0-16
406
407 #### po4a-gettextize
408
409 `po4a-gettextize` uses more or less the same po4a features as our
410 `refreshpot` function.
411
412 Without specifying an input charset, zzuf'ed `po4a-gettextize` quickly
413 errors out, complaining it was not able to detect the input charset;
414 it leaves no incomplete file on disk.
415
416 So I had to pretend the input was in UTF-8, as does the po plugin.
417
418 Two ways of crashing were revealed by this command-line:
419
420         zzuf -vc -s 0:100 -r 0.1:0.5 \
421           po4a-gettextize -f text -o markdown -M utf-8 -L utf-8 \
422             -m LICENSES >/dev/null
423
424 They are:
425
426         Malformed UTF-8 character (UTF-16 surrogate 0xdcc9) in substitution iterator at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
427         Malformed UTF-8 character (fatal) at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
428
429 and
430
431         Malformed UTF-8 character (UTF-16 surrogate 0xdcec) in substitution (s///) at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
432         Malformed UTF-8 character (fatal) at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
433
434 Perl seems to exit cleanly, and an incomplete PO file is written on
435 disk. I not sure whether if this is a bug in Perl or in `Po.pm`.
436
437 > It's fairly standard perl behavior when fed malformed utf-8. As long as it doesn't
438 > crash ikiwiki, it's probably acceptable. Ikiwiki can do some similar things itself when fed malformed utf-8 (doesn't crash tho) --[[Joey]]
439
440 #### po4a-translate
441
442 `po4a-translate` uses more or less the same po4a features as our
443 `filter` function.
444
445 Without specifying an input charset, same behaviour as
446 `po4a-gettextize`, so let's specify UTF-8 as input charset as of now.
447
448         zzuf -cv \
449           po4a-translate -d -f text -o markdown -M utf-8 -L utf-8 \
450             -k 0 -m LICENSES -p LICENSES.fr.po -l test.fr
451
452 ... prints tons of occurences of the following error, but a complete
453 translated document is written (obviously with some weird chars
454 inside):
455
456         Use of uninitialized value in string ne at /usr/share/perl5/Locale/Po4a/TransTractor.pm line 854.
457         Use of uninitialized value in string ne at /usr/share/perl5/Locale/Po4a/TransTractor.pm line 840.
458         Use of uninitialized value in pattern match (m//) at /usr/share/perl5/Locale/Po4a/Po.pm line 1002.
459
460 While:
461
462         zzuf -cv -s 0:10 -r 0.001:0.3 \
463           po4a-translate -d -f text -o markdown -M utf-8 -L utf-8 \
464             -k 0 -m LICENSES -p LICENSES.fr.po -l test.fr
465
466 ... seems to lose the fight, at the `readpo(LICENSES.fr.po)` step,
467 against some kind of infinite loop, deadlock, or any similar beast.
468 It does not seem to eat memory, though.
469
470 Whatever format module is used does not change anything. This is thus
471 probably a bug in po4a's core or in a lib it depends on.
472
473 The sub `read`, in `TransTractor.pm`, seems to be a good debugging
474 starting point.
475
476 #### msgmerge
477
478 `msgmerge` is run in our `refreshpofiles` function. I did not manage
479 to crash it with `zzuf`.
480
481 gettext/po4a rough corners
482 --------------------------
483
484 - fix infinite loop when synchronizing two ikiwiki (when checkouts
485   live in different directories): say bla.fr.po has been updated in
486   repo2; pulling repo2 from repo1 seems to trigger a PO update, that
487   changes bla.fr.po in repo1; then pushing repo1 to repo2 triggers
488   a PO update, that changes bla.fr.po in repo2; etc.; quickly fixed in
489   `629968fc89bced6727981c0a1138072631751fee`, by disabling references
490   in Pot files. Using `Locale::Po4a::write_if_needed` might be
491   a cleaner solution. (warning: this function runs the external
492   `diff` program, have to check security)
493 - new translations created in the web interface must get proper
494   charset/encoding gettext metadata, else the next automatic PO update
495   removes any non-ascii chars; possible solution: put such metadata
496   into the Pot file, and let it propagate; should be fixed in
497   `773de05a7a1ee68d2bed173367cf5e716884945a`, time will tell.
498
499 Page titles in links
500 --------------------
501
502 To use the page titles set with the [meta](plugins/meta) plugin when
503 rendering links would be very much nicer, than the current
504 "filename.LL" format. This is actually a duplicate for
505 [[bugs/pagetitle_function_does_not_respect_meta_titles]].
506
507 Page formats
508 ------------
509
510 Markdown is well supported, great, but what about others?
511
512 The [po](plugins/po) uses `Locale::Po4a::Text` for every page format;
513 this can be expected to work out of the box with most other wiki-like
514 formats supported by ikiwiki. Some of their ad-hoc syntax might be
515 parsed in a strange way, but the worst problems I can imagine would be
516 wrapping issues; e.g. there is code in po4a dedicated to prevent
517 re-wrapping the underlined Markdown headers.
518
519 While it would be easy to better support formats such as [[html]] or
520 LaTeX, by using for each one the dedicated po4a module, this can be
521 problematic from a security point of view.
522
523 **TODO**: test the more popular formats and write proper documentation
524 about it.
525
526 Translation quality assurance
527 -----------------------------
528
529 Modifying a PO file via the CGI must be forbidden if the new version
530 is not a valid PO file. As a bonus, check that it provides a more
531 complete translation than the existing one.
532
533 A new `cansave` type of hook would be needed to implement this.
534
535 Note: committing to the underlying repository is a way to bypass
536 this check.
537
538 Broken links
539 ------------
540
541 See [[contrib/po]].
542
543 Documentation
544 -------------
545
546 Maybe write separate documentation depending on the people it targets:
547 translators, wiki administrators, hackers. This plugin is maybe
548 complex enough to deserve this.