]> sipb.mit.edu Git - ikiwiki.git/blobdiff - doc/plugins/po.mdwn
po: mark po_translatable_pages as a safe configuration setting
[ikiwiki.git] / doc / plugins / po.mdwn
index 7ac1b3f0f98af3b9117e757f0fb8d3c78849cddd..ee6dbb09733bc0ba55dc39e77ee35dd6b0dd3813 100644 (file)
@@ -184,9 +184,9 @@ Automatic PO file update
 
 Committing changes to a "master" page:
 
-1. updates the POT file and the PO files for the supported languages;
-   the updated PO files are then put under version control
-2. triggers a refresh of the corresponding HTML slave pages
+1. updates the POT file and the PO files for the "slave" languages;
+   the updated PO files are then put under version control;
+2. triggers a refresh of the corresponding HTML slave pages.
 
 Also, when the plugin has just been enabled, or when a page has just
 been declared as being translatable, the needed POT and PO files are
@@ -195,15 +195,16 @@ created, and the PO files are checked into version control.
 Discussion pages
 ----------------
 
-Discussion should happen in the language in which the pages are written for
-real, *i.e.* the "master" one. If discussion pages are enabled, "slave" pages
-therefore link to the "master" page's discussion page.
+Discussion should happen in the language in which the pages are
+written for real, *i.e.* the "master" one. If discussion pages are
+enabled, "slave" pages therefore link to the "master" page's
+discussion page.
 
 Translating
 -----------
 
-One can edit the PO files using ikiwiki's CGI (a message-by-message interface
-could also be implemented at some point).
+One can edit the PO files using ikiwiki's CGI (a message-by-message
+interface could also be implemented at some point).
 
 If [[tips/untrusted_git_push]] is setup, one can edit the PO files in one's
 preferred `$EDITOR`, without needing to be online.
@@ -211,24 +212,23 @@ preferred `$EDITOR`, without needing to be online.
 TODO
 ====
 
-OTHERLANGUAGES dependencies
----------------------------
-
-Pages using `OTHERLANGUAGES` depend on any "master" and "slave" pages
-whose status is being displayed. It is supposed to trigger dependency
-loops, but no practical bugs were noticed yet.
-
-Should pages using the `OTHERLANGUAGES` template loop be declared as
-linking to the same page in other versions? To be rigorous, they
-should, but this may clutter the backlinks.
-
 Security checks
 ---------------
 
 - `refreshpofiles` uses `system()`, whose args have to be checked more
   thoroughly to prevent any security issue (command injection, etc.).
+  > Always pass `system()` a list of parameters to avoid the shell.
+  > I've checked in a change fixing that. --[[Joey]]
 - `refreshpofiles` and `refreshpot` create new files; this may need
   some checks, e.g. using `IkiWiki::prep_writefile()`
+  > Yes, it would be ideal to call `prep_writefile` on each file 
+  > that they write, beforehand. This way you'd avoid symlink attacks etc to the
+  > generated po/pot files. I haven't done it, but it seems pretty trivial.
+  > --[[Joey]]
+- Can any sort of directives be put in po files that will
+  cause mischief (ie, include other files, run commands, crash gettext,
+  whatever).
+- Any security issues on running po4a on untrusted content?
 
 gettext/po4a rough corners
 --------------------------
@@ -239,54 +239,41 @@ gettext/po4a rough corners
   changes bla.fr.po in repo1; then pushing repo1 to repo2 triggers
   a PO update, that changes bla.fr.po in repo2; etc.; fixed in
   `629968fc89bced6727981c0a1138072631751fee`?
-- new translations created in the web interface must get proper charset/encoding
-  gettext metadata, else the next automatic PO update removes any non-ascii
-  chars; possible solution: put such metadata into the Pot file, and let it
-  propagate; should be fixed in `773de05a7a1ee68d2bed173367cf5e716884945a`, time
-  will tell.
+- new translations created in the web interface must get proper
+  charset/encoding gettext metadata, else the next automatic PO update
+  removes any non-ascii chars; possible solution: put such metadata
+  into the Pot file, and let it propagate; should be fixed in
+  `773de05a7a1ee68d2bed173367cf5e716884945a`, time will tell.
 
 Misc. improvements
 ------------------
 
-### preview
-
-preview does not work for PO files.
-
-### automatic POT/PO update
-
-Use the `change` hook instead of `needsbuild`?
-
 ### page titles
 
-Use nice page titles from meta plugin in links, as inline already does. This is
-actually a duplicate for
-[[bugs/pagetitle_function_does_not_respect_meta_titles]], which might be fixed
-by something like [[todo/using_meta_titles_for_parentlinks]].
+Use nice page titles from meta plugin in links, as inline already
+does. This is actually a duplicate for
+[[bugs/pagetitle_function_does_not_respect_meta_titles]], which might
+be fixed by something like [[todo/using_meta_titles_for_parentlinks]].
 
 ### websetup
 
-Which configuration settings are safe enough for websetup?
+Which configuration settings are safe enough for websetup, apart of
+`po_master_language`, `po_slave_languages` and `po_translatable_pages`
+that have been checked already?
 
-> I see no problems with `po_master_language` and `po_slave_languages`
-> (assuming websetup handles the hashes correctly). Would not hurt to check
-> that the values of these are legal language codes, in `checkconfig`. 
-> `po_translatable_pages` seems entirely safe. `po_link_to` w/o usedirs
-> causes ikiwiki to error out. If it were changed to fall back to a safe
-> setting in this case rather than error, it would be safe.
+> `po_link_to` w/o usedirs causes ikiwiki to error out. If it were
+> changed to fall back to a safe setting in this case rather than
+> error, it would be safe.
 > --[[Joey]]
 
-### parentlinks
-
-When the wiki home page is translatable, the parentlinks plugin sets
-`./index.html` as its translations' single parent link. Ideally, the home page's
-translations should get no parent link at all, just like the version written in
-the master language.
-
 ### backlinks
 
-If a given translatable `sourcepage.mdwn` links to \[[destpage]],
-`sourcepage.LL.po` also link to \[[destpage]], and the latter has the master
-page *and* all its translations listed in the backlinks.
+`po_link_to = negotiated`: if a given translatable `sourcepage.mdwn`
+links to \[[destpage]], `sourcepage.LL.po` also link to \[[destpage]],
+and the latter has the master page *and* all its translations listed
+in the backlinks.
+
+`po_link_to = current`: seems to work nicely
 
 Translation quality assurance
 -----------------------------