immutable: fix test for truncated reads of URI extension block size

immutable: further loosen the performance-regression test to allow up to 45 reads
This does raise the question of if there is any point to this test, since I apparently don't know what the answer *should* be, and whenever one of the buildbots fails then I redefine success.

But, I'm about to commit a bunch of patches to implement checker, verifier, and repairer as well as to refactor downloader, and I would really like to know if these patches *increase* the number of reads required even higher than it currently is.

trivial: another place where I accidentally committed a note-to-self about the lease fields in the server-side share file

immutable: fix detection of truncated shares to take into account the fieldsize -- either 4 or 8

immutable: raise LayoutInvalid instead of struct.error when a share is truncated
To fix this error from the Windows buildslave:

[ERROR]: allmydata.test.test_immutable.Test.test_download_from_only_3_remaining_shares

Traceback (most recent call last):
  File "C:\Documents and Settings\buildslave\windows-native-tahoe\windows\build\src\allmydata\immutable\download.py", line 135, in _bad
    raise NotEnoughSharesError("ran out of peers, last error was %s" % (f,))
allmydata.interfaces.NotEnoughSharesError: ran out of peers, last error was [Failure instance: Traceback: <class 'struct.error'>: unpack requires a string argument of length 4
c:\documents and settings\buildslave\windows-native-tahoe\windows\build\support\lib\site-packages\foolscap-0.3.2-py2.5.egg\foolscap\call.py:667:_done
c:\documents and settings\buildslave\windows-native-tahoe\windows\build\support\lib\site-packages\foolscap-0.3.2-py2.5.egg\foolscap\call.py:53:complete
c:\Python25\lib\site-packages\twisted\internet\defer.py:239:callback
c:\Python25\lib\site-packages\twisted\internet\defer.py:304:_startRunCallbacks
--- <exception caught here> ---
c:\Python25\lib\site-packages\twisted\internet\defer.py:317:_runCallbacks
C:\Documents and Settings\buildslave\windows-native-tahoe\windows\build\src\allmydata\immutable\layout.py:374:_got_length
C:\Python25\lib\struct.py:87:unpack
]
===============================================================================

immutable: whoops, it actually takes up to 39 reads sometimes to download a corrupted file

immutable: add more detailed tests of download, including testing the count of how many reads different sorts of downloads take

trivial: a few improvements to in-line doc and code, and renaming of test/test_immutable_checker.py to test/test_immutable.py
That file currently tests checker and verifier and repairer, and will soon also test downloader.

immutable: fix name change from BadOrMissingShareHash to BadOrMissingHash
One of the instances of the name accidentally didn't get changed, and pyflakes noticed.  The new downloader/checker/verifier/repairer unit tests would also have noticed, but those tests haven't been rolled into a patch and applied to this repo yet...

trivial: remove unused import -- thanks, pyflakes

immutable: download.py: Raise the appropriate type of exception to indicate the cause of failure, e.g. BadOrMissingHash, ServerFailure, IntegrityCheckReject (which is a supertype of BadOrMissingHash).  This helps users (such as verifier/repairer) catch certain classes of reasons for "why did this download not work".  The tests of verifier/repairer test this code and rely on this code.

immutable: ReadBucketProxy defines classes of exception: LayoutInvalid and its two subtypes RidiculouslyLargeURIExtensionBlock and ShareVersionIncompatible.  This helps users (such as verifier/repairer) catch certain classes of reasons for "why did this download not work".  This code gets exercised by the verifier/repairer unit tests, which corrupt the shares on disk in order to trigger problems like these.

immutable: ValidatedExtendedURIProxy computes and stores block_size and share_size for the convenience of its users

remove_sumo_install.patch

doc: remove notes to self that I accidentally included in a recent patch

docs: remove caveat about Nevow incompatibility with Python 2.6 since the latest version of Nevow has fixed it

immutable: make the test of large files more likely to work by requesting to allocate space for only one huge share, not three

trivial: "M-x whitespace-cleanup", and also remove an unused variable

immutable: storage servers accept any size shares now
Nathan Wilcox observed that the storage server can rely on the size of the share file combined with the count of leases to unambiguously identify the location of the leases.  This means that it can hold any size share data, even though the field nominally used to hold the size of the share data is only 32 bits wide.

With this patch, the storage server still writes the "size of the share data" field (just in case the server gets downgraded to an earlier version which requires that field, or the share file gets moved to another server which is of an earlier vintage), but it doesn't use it.  Also, with this patch, the server no longer rejects requests to write shares which are >= 2^32 bytes in size, and it no longer rejects attempts to read such shares.

This fixes http://allmydata.org/trac/tahoe/ticket/346 (increase share-size field to 8 bytes, remove 12GiB filesize limit), although there remains open a question of how clients know that a given server can handle large shares (by using the new versioning scheme, probably).

Note that share size is also limited by another factor -- how big of a file we can store on the local filesystem on the server.  Currently allmydata.com typically uses ext3 and I think we typically have block size = 4 KiB, which means that the largest file is about 2 TiB.  Also, the hard drives themselves are only 1 TB, so the largest share is definitely slightly less than 1 TB, which means (when K == 3), the largest file is less than 3 TB.

This patch also refactors the creation of new sharefiles so that only a single fopen() is used.

This patch also helps with the unit-testing of repairer, since formerly it was unclear what repairer should expect to find if the "share data size" field was corrupted (some corruptions would have no effect, others would cause failure to download).  Now it is clear that repairer is not required to notice if this field is corrupted since it has no effect on download.  :-)

trivial: "M-x whitespace-cleanup" on immutable/layout.py

trivial: remove unused import -- thanks, pyflakes

rrefutil: generically wrap any errback from callRemote() in a ServerFailure instance
This facilitates client code to easily catch ServerFailures without also catching exceptions arising from client-side code.
See also:
http://foolscap.lothar.com/trac/ticket/105 # make it easy to distinguish server-side failures/exceptions from client-side

immutable: more detailed tests for checker/verifier/repairer
There are a lot of different ways that a share could be corrupted, or that attempting to download it might fail.  These tests attempt to exercise many of those ways and require the checker/verifier/repairer to handle each kind of failure well.

docs: add note about non-ascii chars in cli to NEWS

cli: make startstop_node wait 20 seconds instead of 5 for a process to go away after we signalled it to go away
Because the unit tests on the VirtualZooko buildslave failed when it took 16 seconds for a process to go away.
Perhaps getting notification after only 5 seconds instead of 20 seconds is desirable, and we should change the unit tests and set this back to 5, but I don't know exactly how to change the unit tests.  Perhaps match this particular warning message about the shutdown taking a while and allow the code under test to pass if the only stderr that it emits is this warning.

docs: editing changes and updated news in known_issues.txt

docs: split historical/historical_known_issues.txt out of known_issues.txt
All issues which are relevant to users of v1.1, v1.2, or v1.3 go in known_issues.txt.  All issues which are relevant to users of v1.0 go in historical/historical_known_issues.txt.

doc: sundry amendments to docs and in-line code comments

doc: add mention of "tahoe create-alias" in the security-warning section of CLI.txt

doc: trivial: remove trailing whitespace

doc: warn that unicode might not work, in CLI.txt

doc: use the term "filesystem" rather than "virtual drive" in CLI.txt

cli: mark unicode filenames as unsupported -- see #534 for details

cli: undo the effects of [http://allmydata.org/trac/tahoe/changeset/20081222235453-92b7f-f841e18afb94e1fd95e6dafb799a3d876dd85c69]
We're just going to mark unicode in the cli as unsupported for tahoe-lafs-1.3.0.  Unicode filenames on the command-line do actually work for some platforms and probably only if the platform encoding is utf-8, but I'm not sure, and in any case for it to be marked as "supported" it would have to work on all platforms, be thoroughly tested, and also we would have to understand why it worked.  :-)

test: extend timeout on the hotline file that prevents the client from stopping itself
The 20-second timeout was apparently tripped on my Powerbook G4 "draco".

cli: decode all cli arguments, assuming that they are utf-8 encoded
Also encode all args to urllib as utf-8 because urllib doesn't handle unicode objects.
I'm not sure if it is appropriate to *assume* utf-8 encoding of cli args.  Perhaps the Right thing to do is to detect the platform encoding.  Any ideas?
This patch is mostly due to François Deppierraz.

util/base32: the identity trans table needn't have any contents -- we are using string.translate solely to delete known chars

util/base32: allow unicode inputs to a2b() or could_be_base32_encoded(), and encode them with utf-8 before processing them

util/base32: loosen the precondition forbidding unicode and requiring str -- now it requires either unicode or str
Hopefully this will make it so that tests pass with François Deppierraz's patch to fix the tahoe cli's handling of unicode argument.

immutable: don't catch all exception when downloading, catch only DeadReferenceError and IntegrityCheckReject

immutable: invent download.BadOrMissingHashError which is raised if either hashtree.BadHashError, hashtree.NotEnoughHashesError, and which is a subclass of IntegrityCheckReject

dirnode: don't check MAC on entries in dirnodes
In an ancient version of directories, we needed a MAC on each entry.  In modern times, the entire dirnode comes with a digital signature, so the MAC on each entry is redundant.
With this patch, we no longer check those MACs when reading directories, but we still produce them so that older readers will accept directories that we write.

immutable, checker, and tests: improve docstrings, assertions, tests
No functional changes, but remove unused code, improve or fix docstrings, etc.

cli: if response code from wapi server is not 200 then stop instead of proceeding
Also, include the data that failed to json parse in an exception raised by the json parser.

immutable: when downloading an immutable file, use primary shares if they are available
Primary shares require no erasure decoding so the more primary shares you have, the less CPU is used.

trivial: remove unused import (thanks, pyflakes)

try to tidy up uri-as-string vs. uri-as-object
I get confused about whether a given argument or return value is a uri-as-string or uri-as-object.  This patch adds a lot of assertions that it is one or the other, and also changes CheckerResults to take objects not strings.
In the future, I hope that we generally use Python objects except when importing into or exporting from the Python interpreter e.g. over the wire, the UI, or a stored file.

immutable: remove the last bits of code (only test code or unused code) which did something with plaintext hashes or plaintext hash trees

immutable: use new logging mixins to simplify logging

immutable: refactor ReadBucketProxy a little

debug: pass empty optional arguments to ReadBucketProxy
because those arguments are about to become non-optional (for other code than test/debug code)

uri: generalize regexp that recognizes tahoe URLs to work for any host and port

util: logging: refactor some common logging behavior into mixins

pyutil: assertutil: copy in simplified assertutil from pyutil

pyutil: assertutil: simplify handling of exception during formatting of precondition message, and reduce dependency to just the Python Standard Library's logging module

client: add get_servers()

mutable publish: if we are surprised by shares that match what we would have written anyways, don't be surprised. This should fix one of the two #546 problems, in which we re-use a server and forget that we already sent them a share.

NEWS: updated to most recent user-visible changes, including the 8123-to-3456 change

immutable: remove unused code to produce plaintext hashes

finish renaming 'subshare' to 'block' in immutable/encode.py and in docs/

introducer: fix bug in recent simplification caught by Brian's sharp code-reviewing eye

introducer: simplify get_permuted_peers() implementation and add get_peers()

webapi.txt: minor edits

rename "get_verifier()" to "get_verify_cap()"

setup: try depending on setuptools >= 0.6c6 instead of >= 0.6c7 at run-time, to be able to use the setuptools that came with Ubuntu Gutsy

setup: loosen requirement on simplejson to >= 1.4
That's the version of simplejson that comes with ubuntu feisty, and the one that we've required for most of our history.  Currently the Ubuntu dapper buildslave fails (see issue #534), and setting the simplejson requirement to be >= 2.0 would fix that failure, but I don't understand why.

setup: require simplejson >= 1.7.1
That's the version that comes with gutsy, and we don't really understand why increasing the required version number helped with issue #553.

mutable: merge renaming with test patches

mutable: rename mutable/node.py to mutable/filenode.py and mutable/repair.py to mutable/repairer.py
To be more consistent with the immutable layout that I am working on.

web/directory.py: really really fix #553. Unfortunately it's tricky to simulate the behavior of a brower's relative-url handling in a unit test.

filenode.py: Fix partial HTTP Range header handling according to RFC2616

Tahoe webapi was failing on HTTP request containing a partial Range header.
This change allows movies players like mplayer to seek in movie files stored in
tahoe.

Associated tests for GET and HEAD methods are also included

mutable.modify(): after UCWE, publish even if the second invocation of the modifier didn't modify anything. For #551.

dirnode.py: dirnode.delete which hits UCWE should not fail with NoSuchChildError. Fixes #550.

MutableFileNode.modify: pass first_time= and servermap= to the modifier callback

misc/cpu-watcher.tac: tolerate disk-full errors when writing the pickle, and pickle corruption from earlier disk-full errors

web: fix more info links again
Really, *really* closes #553.

web: fix moreinfo link

web: "More Info" link describes the same file that the "file" link points to, rather than to the file under the same name in this directory
It's a subtle but real difference.
Fixes #553 -- "More Info" link should point to a file/dir, not a dir+childname .

minor: fix unused imports -- thanks, pyflakes

download: refactor handling of URI Extension Block and crypttext hash tree, simplify things

Refactor into a class the logic of asking each server in turn until one of them gives an answer
that validates.  It is called ValidatedThingObtainer.

Refactor the downloading and verification of the URI Extension Block into a class named
ValidatedExtendedURIProxy.

The new logic of validating UEBs is minimalist: it doesn't require the UEB to contain any
unncessary information, but of course it still accepts such information for backwards
compatibility (so that this new download code is able to download files uploaded with old, and
for that matter with current, upload code).

The new logic of validating UEBs follows the practice of doing all validation up front.  This
practice advises one to isolate the validation of incoming data into one place, so that all of
the rest of the code can assume only valid data.

If any redundant information is present in the UEB+URI, the new code cross-checks and asserts
that it is all fully consistent.  This closes some issues where the uploader could have
uploaded inconsistent redundant data, which would probably have caused the old downloader to
simply reject that download after getting a Python exception, but perhaps could have caused
greater harm to the old downloader.

I removed the notion of selecting an erasure codec from codec.py based on the string that was
passed in the UEB.  Currently "crs" is the only such string that works, so
"_assert(codec_name == 'crs')" is simpler and more explicit.  This is also in keeping with the
"validate up front" strategy -- now if someone sets a different string than "crs" in their UEB,
the downloader will reject the download in the "validate this UEB" function instead of in a
separate "select the codec instance" function.

I removed the code to check plaintext hashes and plaintext Merkle Trees.  Uploaders do not
produce this information any more (since it potentially exposes confidential information about
the file), and the unit tests for it were disabled.  The downloader before this patch would
check that plaintext hash or plaintext merkle tree if they were present, but not complain if
they were absent.  The new downloader in this patch complains if they are present and doesn't
check them.  (We might in the future re-introduce such hashes over the plaintext, but encrypt
the hashes which are stored in the UEB to preserve confidentiality.  This would be a double-
check on the correctness of our own source code -- the current Merkle Tree over the ciphertext
is already sufficient to guarantee the integrity of the download unless there is a bug in our
Merkle Tree or AES implementation.)

This patch increases the lines-of-code count by 8 (from 17,770 to 17,778), and reduces the
uncovered-by-tests lines-of-code count by 24 (from 1408 to 1384).  Those numbers would be more
meaningful if we omitted src/allmydata/util/ from the test-coverage statistics.

test_web: add get_permuted_peers, to unbreak recent checker_results change

web checker_results: include a table of servers in permuted order, so you can see the places where new servers have been inserted

test_system.py: assert less about the stats we get, since shares (and thus allocate() calls) are distributed randomly

stats: don't return booleans: it violates the schema. Add a test.

test_system.py: don't ask the stats-gatherer to poll: it tolerates failures, so it isn't really giving us enough test coverage. Removing the call will make it more clear that we need to improve the tests later

confwiz.py - removing hardcoded version number

CLI: check for pre-existing aliases in 'tahoe create-alias' and 'tahoe add-alias'

test_cli: pass rc out of do_cli() too

setup: one more address to send release announcements to

setup: another note about the process of making a tahoe release: mail to duplicity-talk@nongnu.org

test_storage.py: more windows-vs-readonly-storage fixes

docs/webapi.txt: update helper section to discuss tahoe.cfg

docs/webapi.txt: update to discuss tahoe.cfg, not BASEDIR/webport

storage.py: oops, fix windows again, readonly_storage wasn't getting picked up properly

test_download.py: remove extra base32 import

test_download: test both mutable and immutable pre-generated shares

test_download.py: added 'known-answer-tests', to make sure current code can download a file that was created by earlier code

docs/configuration.txt: fix minor typo

storage.py: unbreak readonly_storage=True on windows

#542 'tahoe create-key-generator': fix the .tac file this creates to be compatible with modern code, add a test