doc/plugins/po.mdwn

   1 [[!template id=plugin name=po core=0 author="[[intrigeri]]"]]
   2 [[!tag type/format]]
   3
   4 This plugin adds support for multi-lingual wikis, translated with
   5 gettext, using [po4a](http://po4a.alioth.debian.org/).
   6
   7 It depends on the Perl `Locale::Po4a::Po` library (`apt-get install po4a`).
   8
   9 [[!toc levels=2]]
  10
  11 Introduction
  12 ============
  13
  14 A language is chosen as the "master" one, and any other supported
  15 language is a "slave" one.
  16
  17 A page written in the "master" language is a "master" page. It can be
  18 of any page type supported by ikiwiki, except `po`. It does not have to be
  19 named a special way: migration to this plugin does not imply any page
  20 renaming work.
  21
  22 Example: `bla/page.mdwn` is a "master" Markdown page written in
  23 English; if `usedirs` is enabled, it is rendered as
  24 `bla/page/index.en.html`, else as `bla/page.en.html`.
  25
  26 Any translation of a "master" page into a "slave" language is called
  27 a "slave" page; it is written in the gettext PO format. `po` is now
  28 a page type supported by ikiwiki.
  29
  30 Example: `bla/page.fr.po` is the PO "message catalog" used to
  31 translate `bla/page.mdwn` into French; if `usedirs` is enabled, it is
  32 rendered as `bla/page/index.fr.html`, else as `bla/page.fr.html`
  33
  34
  35 Configuration
  36 =============
  37
  38 Supported languages
  39 -------------------
  40
  41 `po_master_language` is used to set the "master" language in
  42 `ikiwiki.setup`, such as:
  43
  44         po_master_language => { 'code' => 'en', 'name' => 'English' }
  45
  46 `po_slave_languages` is used to set the list of supported "slave"
  47 languages, such as:
  48
  49         po_slave_languages => { 'fr' => 'Français',
  50                                 'es' => 'Castellano',
  51                                 'de' => 'Deutsch',
  52         }
  53
  54 Decide which pages are translatable
  55 -----------------------------------
  56
  57 The `po_translatable_pages` setting configures what pages are
  58 translatable. It is a [[ikiwiki/PageSpec]], so you have lots of
  59 control over what kind of pages are translatable.
  60
  61 The `.po` files are not considered as being translatable, so you don't need to
  62 worry about excluding them explicitly from this [[ikiwiki/PageSpec]].
  63
  64 Internal links
  65 --------------
  66
  67 The `po_link_to` option in `ikiwiki.setup` is used to decide how
  68 internal links should be generated, depending on web server features
  69 and site-specific preferences.
  70
  71 ### Default linking behavior
  72
  73 If `po_link_to` is unset, or set to `default`, ikiwiki's default
  74 linking behavior is preserved: `\[[destpage]]` links to the master
  75 language's page.
  76
  77 ### Link to current language
  78
  79 If `po_link_to` is set to `current`, `\[[destpage]]` links to the
  80 `destpage`'s version written in the current page's language, if
  81 available, *i.e.*:
  82
  83 - `foo/destpage/index.LL.html` if `usedirs` is enabled
  84 - `foo/destpage.LL.html` if `usedirs` is disabled
  85
  86 ### Link to negotiated language
  87
  88 If `po_link_to` is set to `negotiated`, `\[[page]]` links to the
  89 negotiated preferred language, *i.e.* `foo/page/`.
  90
  91 (In)compatibility notes:
  92
  93 - if `usedirs` is disabled, it does not make sense to set `po_link_to`
  94   to `negotiated`; this option combination is neither implemented
  95   nor allowed.
  96 - if the web server does not support Content Negotiation, setting
  97   `po_link_to` to `negotiated` will produce a unusable website.
  98
  99
 100 Server support
 101 ==============
 102
 103 Apache
 104 ------
 105
 106 Using Apache `mod_negotiation` makes it really easy to have Apache
 107 serve any page in the client's preferred language, if available.
 108 This is the default Debian Apache configuration.
 109
 110 When `usedirs` is enabled, one has to set `DirectoryIndex index` for
 111 the wiki context.
 112
 113 Setting `DefaultLanguage LL` (replace `LL` with your default MIME
 114 language code) for the wiki context can help to ensure
 115 `bla/page/index.en.html` is served as `Content-Language: LL`.
 116
 117 lighttpd
 118 --------
 119
 120 lighttpd unfortunately does not support content negotiation.
 121
 122 **FIXME**: does `mod_magnet` provide the functionality needed to
 123  emulate this?
 124
 125
 126 Usage
 127 =====
 128
 129 Templates
 130 ---------
 131
 132 When `po_link_to` is not set to `negotiated`, one should replace some
 133 occurrences of `BASEURL` with `HOMEPAGEURL` to get correct links to
 134 the wiki homepage.
 135
 136 The `ISTRANSLATION` and `ISTRANSLATABLE` variables can be used to
 137 display things only on translatable or translation pages.
 138
 139 ### Display page's versions in other languages
 140
 141 The `OTHERLANGUAGES` loop provides ways to display other languages'
 142 versions of the same page, and the translations' status.
 143
 144 One typically adds the following code to `templates/page.tmpl`:
 145
 146         <TMPL_IF NAME="OTHERLANGUAGES">
 147         <div id="otherlanguages">
 148           <ul>
 149           <TMPL_LOOP NAME="OTHERLANGUAGES">
 150             <li>
 151               <a href="<TMPL_VAR NAME="URL">"><TMPL_VAR NAME="LANGUAGE"></a>
 152               <TMPL_UNLESS NAME="MASTER">
 153                 (<TMPL_VAR NAME="PERCENT">&nbsp;%)
 154               </TMPL_UNLESS>
 155             </li>
 156           </TMPL_LOOP>
 157           </ul>
 158         </div>
 159         </TMPL_IF>
 160
 161 The following variables are available inside the loop (for every page in):
 162
 163 - `URL` - url to the page
 164 - `CODE` - two-letters language code
 165 - `LANGUAGE` - language name (as defined in `po_slave_languages`)
 166 - `MASTER` - is true (1) if, and only if the page is a "master" page
 167 - `PERCENT` - for "slave" pages, is set to the translation completeness, in percents
 168
 169 ### Display the current translation status
 170
 171 The `PERCENTTRANSLATED` variable is set to the translation
 172 completeness, expressed in percent, on "slave" pages.
 173
 174 One can use it this way:
 175
 176         <TMPL_IF NAME="ISTRANSLATION">
 177         <div id="percenttranslated">
 178           <TMPL_VAR NAME="PERCENTTRANSLATED">
 179         </div>
 180         </TMPL_IF>
 181
 182 Additional PageSpec tests
 183 -------------------------
 184
 185 This plugin enhances the regular [[ikiwiki/PageSpec]] syntax with some
 186 additional tests that are documented [[here|ikiwiki/pagespec/po]].
 187
 188 Automatic PO file update
 189 ------------------------
 190
 191 Committing changes to a "master" page:
 192
 193 1. updates the POT file and the PO files for the "slave" languages;
 194    the updated PO files are then put under version control;
 195 2. triggers a refresh of the corresponding HTML slave pages.
 196
 197 Also, when the plugin has just been enabled, or when a page has just
 198 been declared as being translatable, the needed POT and PO files are
 199 created, and the PO files are checked into version control.
 200
 201 Discussion pages and other sub-pages
 202 ------------------------------------
 203
 204 Discussion should happen in the language in which the pages are
 205 written for real, *i.e.* the "master" one. If discussion pages are
 206 enabled, "slave" pages therefore link to the "master" page's
 207 discussion page.
 208
 209 Likewise, "slave" pages are not supposed to have sub-pages;
 210 [[WikiLinks|wikilink]] that appear on a "slave" page therefore link to
 211 the master page's sub-pages.
 212
 213 Translating
 214 -----------
 215
 216 One can edit the PO files using ikiwiki's CGI (a message-by-message
 217 interface could also be implemented at some point).
 218
 219 If [[tips/untrusted_git_push]] is setup, one can edit the PO files in one's
 220 preferred `$EDITOR`, without needing to be online.
 221
 222 Markup languages support
 223 ------------------------
 224
 225 Markdown is well supported. Some other markup languages supported by
 226 ikiwiki mostly work, but some pieces of syntax are not rendered
 227 correctly on the slave pages:
 228
 229 * [[reStructuredText|rst]]: anonymous hyperlinks and internal
 230   cross-references
 231 * [[wikitext]]: conversion of newlines to paragraphs
 232 * [[creole]]: verbatim text is wrapped, tables are broken
 233 * [[html]] and LaTeX: not supported yet; the dedicated po4a modules
 234   could be used to support them, but they would need a security audit
 235 * other markup languages have not been tested.
 236
 237
 238 TODO
 239 ====
 240
 241 Security checks
 242 ---------------
 243
 244 ### Security history
 245
 246 The only past security issues I could find in GNU gettext and po4a
 247 are:
 248
 249 - [CVE-2004-0966](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2004-0966),
 250   *i.e.* [Debian bug #278283](http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=278283):
 251   the autopoint and gettextize scripts in the GNU gettext package
 252   1.14 and later versions, as used in Trustix Secure Linux 1.5
 253   through 2.1 and other operating systems, allows local users to
 254   overwrite files via a symlink attack on temporary files.
 255 - [CVE-2007-4462](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4462):
 256   `lib/Locale/Po4a/Po.pm` in po4a before 0.32 allows local users to
 257   overwrite arbitrary files via a symlink attack on the
 258   gettextization.failed.po temporary file.
 259
 260 **FIXME**: check whether this plugin would have been a possible attack
 261 vector to exploit these vulnerabilities.
 262
 263 Depending on my mood, the lack of found security issues can either
 264 indicate that there are none, or reveal that no-one ever bothered to
 265 find (and publish) them.
 266
 267 ### PO file features
 268
 269 Can any sort of directives be put in po files that will cause mischief
 270 (ie, include other files, run commands, crash gettext, whatever)?
 271
 272 > No [documented](http://www.gnu.org/software/gettext/manual/gettext.html#PO-Files)
 273 > directive is supposed to do so. [[--intrigeri]]
 274
 275 ### Running po4a on untrusted content
 276
 277 Are there any security issues on running po4a on untrusted content?
 278
 279 To say the least, this issue is not well covered, at least publicly:
 280
 281 - the documentation does not talk about it;
 282 - grep'ing the source code for `security` or `trust` gives no answer.
 283
 284 On the other hand, a po4a developer answered my questions in
 285 a convincing manner, stating that processing untrusted content was not
 286 an initial goal, and analysing in detail the possible issues.
 287
 288 #### Already checked
 289
 290 - the core (`Po.pm`, `Transtractor.pm`) should be safe
 291 - po4a source code was fully checked for other potential symlink
 292   attacks, after discovery of one such issue
 293 - the only external program run by the core is `diff`, in `Po.pm` (in
 294   parts of its code we don't use)
 295 - `Locale::gettext`: only used to display translated error messages
 296 - Nicolas François "hopes" `DynaLoader` is safe, and has "no reason to
 297   think that `Encode` is not safe"
 298 - Nicolas François has "no reason to think that `Encode::Guess` is not
 299   safe". The po plugin nevertheless avoids using it by defining the
 300   input charset (`file_in_charset`) before asking `Transtractor` to
 301   read any file. NB: this hack depends on po4a internals to stay
 302   the same.
 303
 304 ##### Locale::Po4a modules
 305
 306 The modules we want to use have to be checked, as not all are safe
 307 (e.g. the LaTeX module's behaviour is changed by commands included in
 308 the content); they may use regexps generated from the content.
 309
 310 `Chooser.pm` only loads the plugin we tell it too: currently, this
 311 means the `Text` module only.
 312
 313 `Text` module (I checked the CVS version):
 314
 315 - it does not run any external program
 316 - only `do_paragraph()` builds regexp's that expand untrusted
 317   variables; they seem safe to me, but someone more expert than me
 318   will need to check. Joey?
 319
 320   > Freaky code, but seems ok due to use of `quotementa`.
 321
 322 #### To be checked
 323
 324 ##### Text::WrapI18N
 325
 326 `Text::WrapI18N` can cause DoS (see the
 327 [Debian bug #470250](http://bugs.debian.org/470250)), but it is
 328 optional and we do not need the features it provides.
 329
 330 > I proposed a patch based on Joey's to po4a-devel, allowing to fully
 331 > disable this module's use. When it is merged upstream, we'll need to add
 332 > `use Locale::Po4a::Common qw(nowrapi18n)` to `po.pm`, before loading
 333 > any other `Locale::Po4a` module. A versioned dependency may be needed.
 334 > --[[intrigeri]]
 335
 336 ##### Term::ReadKey
 337
 338 `Term::ReadKey` is not a hard dependency in our case, *i.e.* po4a
 339 works nicely without it. But the po4a Debian package recommends
 340 `libterm-readkey-perl`, so it will probably be installed on most
 341 systems using the po plugin.
 342
 343 `Term::ReadKey` has too far reaching implications for us to
 344 be able to guarantee anything wrt. security.
 345
 346 > The option that disables `Text::WrapI18N` also disables
 347 > `Term::ReadKey` as a consequence. [[--intrigeri]]
 348
 349 ### msgmerge
 350
 351 `refreshpofiles()` runs this external program.
 352
 353 A po4a developer answered he does "not expect any security issues from
 354 it". I did not manage to crash it with `zzuf`, nor was able to find
 355 any past security holes.
 356
 357 ### msgfmt
 358
 359 `isvalidpo()` runs this external program.
 360
 361 * I could not manage to make it behave badly using zzuf, it exits
 362   cleanly when too many errors are detected.
 363 * I could not find any past security holes.
 364
 365 ### Fuzzing input
 366
 367 Test conditions:
 368
 369 - a 21M file containing 100 concatenated copies of all the files in my
 370   `/usr/share/common-licenses/`; I had no existing PO file or
 371   translated versions at hand, which renders these tests
 372   quite incomplete.
 373 - po4a was the Debian 0.34-2 package; the same tests were also run
 374   after replacing the `Text` module with the CVS one (the core was not
 375   changed in CVS since 0.34-2 was released), without any significant
 376   difference in the results.
 377 - Perl 5.10.0-16
 378
 379 #### po4a-gettextize
 380
 381 `po4a-gettextize` uses more or less the same po4a features as our
 382 `refreshpot` function.
 383
 384 Without specifying an input charset, zzuf'ed `po4a-gettextize` quickly
 385 errors out, complaining it was not able to detect the input charset;
 386 it leaves no incomplete file on disk.
 387
 388 So I had to pretend the input was in UTF-8, as does the po plugin.
 389
 390 Two ways of crashing were revealed by this command-line:
 391
 392         zzuf -vc -s 0:100 -r 0.1:0.5 \
 393           po4a-gettextize -f text -o markdown -M utf-8 -L utf-8 \
 394             -m LICENSES >/dev/null
 395
 396 They are:
 397
 398         Malformed UTF-8 character (UTF-16 surrogate 0xdcc9) in substitution iterator at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
 399         Malformed UTF-8 character (fatal) at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
 400
 401 and
 402
 403         Malformed UTF-8 character (UTF-16 surrogate 0xdcec) in substitution (s///) at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
 404         Malformed UTF-8 character (fatal) at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
 405
 406 Perl seems to exit cleanly, and an incomplete PO file is written on
 407 disk. I not sure whether if this is a bug in Perl or in `Po.pm`.
 408
 409 > It's fairly standard perl behavior when fed malformed utf-8. As long as it doesn't
 410 > crash ikiwiki, it's probably acceptable. Ikiwiki can do some similar things itself when fed malformed utf-8 (doesn't crash tho) --[[Joey]]
 411
 412 #### po4a-translate
 413
 414 `po4a-translate` uses more or less the same po4a features as our
 415 `filter` function.
 416
 417 Without specifying an input charset, same behaviour as
 418 `po4a-gettextize`, so let's specify UTF-8 as input charset as of now.
 419
 420         zzuf -cv \
 421           po4a-translate -d -f text -o markdown -M utf-8 -L utf-8 \
 422             -k 0 -m LICENSES -p LICENSES.fr.po -l test.fr
 423
 424 ... prints tons of occurences of the following error, but a complete
 425 translated document is written (obviously with some weird chars
 426 inside):
 427
 428         Use of uninitialized value in string ne at /usr/share/perl5/Locale/Po4a/TransTractor.pm line 854.
 429         Use of uninitialized value in string ne at /usr/share/perl5/Locale/Po4a/TransTractor.pm line 840.
 430         Use of uninitialized value in pattern match (m//) at /usr/share/perl5/Locale/Po4a/Po.pm line 1002.
 431
 432 While:
 433
 434         zzuf -cv -s 0:10 -r 0.001:0.3 \
 435           po4a-translate -d -f text -o markdown -M utf-8 -L utf-8 \
 436             -k 0 -m LICENSES -p LICENSES.fr.po -l test.fr
 437
 438 ... seems to lose the fight, at the `readpo(LICENSES.fr.po)` step,
 439 against some kind of infinite loop, deadlock, or any similar beast.
 440
 441 The root of this bug lies in `Text::WrapI18N`, see above for
 442 possible solutions.
 443
 444 gettext/po4a rough corners
 445 --------------------------
 446
 447 - fix infinite loop when synchronizing two ikiwiki (when checkouts
 448   live in different directories): say bla.fr.po has been updated in
 449   repo2; pulling repo2 from repo1 seems to trigger a PO update, that
 450   changes bla.fr.po in repo1; then pushing repo1 to repo2 triggers
 451   a PO update, that changes bla.fr.po in repo2; etc.; quickly fixed in
 452   `629968fc89bced6727981c0a1138072631751fee`, by disabling references
 453   in Pot files. Using `Locale::Po4a::write_if_needed` might be
 454   a cleaner solution. (warning: this function runs the external
 455   `diff` program, have to check security)
 456 - new translations created in the web interface must get proper
 457   charset/encoding gettext metadata, else the next automatic PO update
 458   removes any non-ascii chars; possible solution: put such metadata
 459   into the Pot file, and let it propagate; should be fixed in
 460   `773de05a7a1ee68d2bed173367cf5e716884945a`, time will tell.
 461
 462 Better links
 463 ------------
 464
 465 ### Page title in links
 466
 467 Using the fix to
 468 [[bugs/pagetitle_function_does_not_respect_meta_titles]] from
 469 [[intrigeri]]'s `meta` branch, the generated links' text is based on
 470 the page titles set with the [[meta|plugins/meta]] plugin. This has to
 471 be merged into ikiwiki upstream, though.
 472
 473 Robustness tests
 474 ----------------
 475
 476 ### Enabling/disabling the plugin
 477
 478 - enabling the plugin with `po_translatable_pages` set
 479 - enabling the plugin without `po_translatable_pages` set: **OK**
 480 - disabling the plugin: **OK**
 481
 482 ### Changing the plugin config
 483
 484 - adding existing pages to `po_translatable_pages`: **OK**
 485 - removing existing pages from `po_translatable_pages`: **OK**
 486 - adding a language to `po_slave_languages`: **OK**
 487 - removing a language from `po_slave_languages`: **OK**
 488 - changing `po_master_language`: **OK**
 489 - replacing `po_master_language` with a language previously part of
 490   `po_slave_languages`: needs two rebuilds, but **OK** (this is quite
 491   a perverse test actually)
 492
 493 ### Creating/deleting/renaming pages
 494
 495 All cases of master/slave page creation/deletion/rename, both via RCS
 496 and via CGI, have been tested.
 497
 498 ### Misc
 499
 500 - general test with `usedirs` disabled: **OK**
 501 - general test with `indexpages` enabled
 502 - general test with `po_link_to=default`
 503
 504 Documentation
 505 -------------
 506
 507 Maybe write separate documentation depending on the people it targets:
 508 translators, wiki administrators, hackers. This plugin may be complex
 509 enough to deserve this.