]> git.vanrenterghem.biz Git - git.ikiwiki.info.git/blob - doc/plugins/po.mdwn
9298b3d377130838d663f2f58111252b943f8b35
[git.ikiwiki.info.git] / doc / plugins / po.mdwn
1 [[!template id=plugin name=po core=0 author="[[intrigeri]]"]]
2 [[!tag type/format]]
4 This plugin adds support for multi-lingual wikis, translated with
5 gettext, using [po4a](http://po4a.alioth.debian.org/).
7 It depends on the Perl `Locale::Po4a::Po` library (`apt-get install po4a`).
9 [[!toc levels=2]]
11 Introduction
12 ============
14 A language is chosen as the "master" one, and any other supported
15 language is a "slave" one.
17 A page written in the "master" language is a "master" page. It can be
18 of any page type supported by ikiwiki, except `po`. It does not have to be
19 named a special way: migration to this plugin does not imply any page
20 renaming work.
22 Example: `bla/page.mdwn` is a "master" Markdown page written in
23 English; if `usedirs` is enabled, it is rendered as
24 `bla/page/index.en.html`, else as `bla/page.en.html`.
26 Any translation of a "master" page into a "slave" language is called
27 a "slave" page; it is written in the gettext PO format. `po` is now
28 a page type supported by ikiwiki.
30 Example: `bla/page.fr.po` is the PO "message catalog" used to
31 translate `bla/page.mdwn` into French; if `usedirs` is enabled, it is
32 rendered as `bla/page/index.fr.html`, else as `bla/page.fr.html`
35 Configuration
36 =============
38 Supported languages
39 -------------------
41 `po_master_language` is used to set the "master" language in
42 `ikiwiki.setup`, such as:
44         po_master_language => { 'code' => 'en', 'name' => 'English' }
46 `po_slave_languages` is used to set the list of supported "slave"
47 languages, such as:
49         po_slave_languages => { 'fr' => 'Français',
50                                 'es' => 'Castellano',
51                                 'de' => 'Deutsch',
52         }
54 Decide which pages are translatable
55 -----------------------------------
57 The `po_translatable_pages` setting configures what pages are
58 translatable. It is a [[ikiwiki/PageSpec]], so you have lots of
59 control over what kind of pages are translatable.
61 The `.po` files are not considered as being translatable, so you don't need to
62 worry about excluding them explicitly from this [[ikiwiki/PageSpec]].
64 Internal links
65 --------------
67 The `po_link_to` option in `ikiwiki.setup` is used to decide how
68 internal links should be generated, depending on web server features
69 and site-specific preferences.
71 ### Default linking behavior
73 If `po_link_to` is unset, or set to `default`, ikiwiki's default
74 linking behavior is preserved: `\[[destpage]]` links to the master
75 language's page.
77 ### Link to current language
79 If `po_link_to` is set to `current`, `\[[destpage]]` links to the
80 `destpage`'s version written in the current page's language, if
81 available, *i.e.*:
83 - `foo/destpage/index.LL.html` if `usedirs` is enabled
84 - `foo/destpage.LL.html` if `usedirs` is disabled
86 ### Link to negotiated language
88 If `po_link_to` is set to `negotiated`, `\[[page]]` links to the
89 negotiated preferred language, *i.e.* `foo/page/`.
91 (In)compatibility notes:
93 - if `usedirs` is disabled, it does not make sense to set `po_link_to`
94   to `negotiated`; this option combination is neither implemented
95   nor allowed.
96 - if the web server does not support Content Negotiation, setting
97   `po_link_to` to `negotiated` will produce a unusable website.
100 Server support
101 ==============
103 Apache
104 ------
106 Using Apache `mod_negotiation` makes it really easy to have Apache
107 serve any page in the client's preferred language, if available.
108 This is the default Debian Apache configuration.
110 When `usedirs` is enabled, one has to set `DirectoryIndex index` for
111 the wiki context.
113 Setting `DefaultLanguage LL` (replace `LL` with your default MIME
114 language code) for the wiki context can help to ensure
115 `bla/page/index.en.html` is served as `Content-Language: LL`.
117 lighttpd
118 --------
120 lighttpd unfortunately does not support content negotiation.
122 **FIXME**: does `mod_magnet` provide the functionality needed to
123  emulate this?
126 Usage
127 =====
129 Templates
130 ---------
132 When `po_link_to` is not set to `negotiated`, one should replace some
133 occurrences of `BASEURL` with `HOMEPAGEURL` to get correct links to
134 the wiki homepage.
136 The `ISTRANSLATION` and `ISTRANSLATABLE` variables can be used to
137 display things only on translatable or translation pages.
139 ### Display page's versions in other languages
141 The `OTHERLANGUAGES` loop provides ways to display other languages'
142 versions of the same page, and the translations' status.
144 One typically adds the following code to `templates/page.tmpl`:
146         <TMPL_IF NAME="OTHERLANGUAGES">
147         <div id="otherlanguages">
148           <ul>
149           <TMPL_LOOP NAME="OTHERLANGUAGES">
150             <li>
151               <a href="<TMPL_VAR NAME="URL">"><TMPL_VAR NAME="LANGUAGE"></a>
152               <TMPL_UNLESS NAME="MASTER">
153                 (<TMPL_VAR NAME="PERCENT">&nbsp;%)
154               </TMPL_UNLESS>
155             </li>
156           </TMPL_LOOP>
157           </ul>
158         </div>
159         </TMPL_IF>
161 The following variables are available inside the loop (for every page in):
163 - `URL` - url to the page
164 - `CODE` - two-letters language code
165 - `LANGUAGE` - language name (as defined in `po_slave_languages`)
166 - `MASTER` - is true (1) if, and only if the page is a "master" page
167 - `PERCENT` - for "slave" pages, is set to the translation completeness, in percents
169 ### Display the current translation status
171 The `PERCENTTRANSLATED` variable is set to the translation
172 completeness, expressed in percent, on "slave" pages.
174 One can use it this way:
176         <TMPL_IF NAME="ISTRANSLATION">
177         <div id="percenttranslated">
178           <TMPL_VAR NAME="PERCENTTRANSLATED">
179         </div>
180         </TMPL_IF>
182 Additional PageSpec tests
183 -------------------------
185 This plugin enhances the regular [[ikiwiki/PageSpec]] syntax with some
186 additional tests that are documented [[here|ikiwiki/pagespec/po]].
188 Automatic PO file update
189 ------------------------
191 Committing changes to a "master" page:
193 1. updates the POT file and the PO files for the "slave" languages;
194    the updated PO files are then put under version control;
195 2. triggers a refresh of the corresponding HTML slave pages.
197 Also, when the plugin has just been enabled, or when a page has just
198 been declared as being translatable, the needed POT and PO files are
199 created, and the PO files are checked into version control.
201 Discussion pages and other sub-pages
202 ------------------------------------
204 Discussion should happen in the language in which the pages are
205 written for real, *i.e.* the "master" one. If discussion pages are
206 enabled, "slave" pages therefore link to the "master" page's
207 discussion page.
209 Likewise, "slave" pages are not supposed to have sub-pages;
210 [[WikiLinks|wikilink]] that appear on a "slave" page therefore link to
211 the master page's sub-pages.
213 Translating
214 -----------
216 One can edit the PO files using ikiwiki's CGI (a message-by-message
217 interface could also be implemented at some point).
219 If [[tips/untrusted_git_push]] is setup, one can edit the PO files in one's
220 preferred `$EDITOR`, without needing to be online.
222 Markup languages support
223 ------------------------
225 Markdown is well supported. Some other markup languages supported by
226 ikiwiki mostly work, but some pieces of syntax are not rendered
227 correctly on the slave pages:
229 * [[reStructuredText|rst]]: anonymous hyperlinks and internal
230   cross-references
231 * [[wikitext]]: conversion of newlines to paragraphs
232 * [[creole]]: verbatim text is wrapped, tables are broken
233 * [[html]] and LaTeX: not supported yet; the dedicated po4a modules
234   could be used to support them, but they would need a security audit
235 * other markup languages have not been tested.
238 TODO
239 ====
241 Security checks
242 ---------------
244 ### Security history
246 The only past security issues I could find in GNU gettext and po4a
247 are:
249 - [CVE-2004-0966](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2004-0966),
250   *i.e.* [Debian bug #278283](http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=278283):
251   the autopoint and gettextize scripts in the GNU gettext package
252   1.14 and later versions, as used in Trustix Secure Linux 1.5
253   through 2.1 and other operating systems, allows local users to
254   overwrite files via a symlink attack on temporary files.
255 - [CVE-2007-4462](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4462):
256   `lib/Locale/Po4a/Po.pm` in po4a before 0.32 allows local users to
257   overwrite arbitrary files via a symlink attack on the
258   gettextization.failed.po temporary file.
260 **FIXME**: check whether this plugin would have been a possible attack
261 vector to exploit these vulnerabilities.
263 Depending on my mood, the lack of found security issues can either
264 indicate that there are none, or reveal that no-one ever bothered to
265 find (and publish) them.
267 ### PO file features
269 Can any sort of directives be put in po files that will cause mischief
270 (ie, include other files, run commands, crash gettext, whatever)?
272 > No [documented](http://www.gnu.org/software/gettext/manual/gettext.html#PO-Files)
273 > directive is supposed to do so. [[--intrigeri]]
275 ### Running po4a on untrusted content
277 Are there any security issues on running po4a on untrusted content?
279 To say the least, this issue is not well covered, at least publicly:
281 - the documentation does not talk about it;
282 - grep'ing the source code for `security` or `trust` gives no answer.
284 On the other hand, a po4a developer answered my questions in
285 a convincing manner, stating that processing untrusted content was not
286 an initial goal, and analysing in detail the possible issues.
288 #### Already checked
290 - the core (`Po.pm`, `Transtractor.pm`) should be safe
291 - po4a source code was fully checked for other potential symlink
292   attacks, after discovery of one such issue
293 - the only external program run by the core is `diff`, in `Po.pm` (in
294   parts of its code we don't use)
295 - `Locale::gettext`: only used to display translated error messages
296 - Nicolas François "hopes" `DynaLoader` is safe, and has "no reason to
297   think that `Encode` is not safe"
298 - Nicolas François has "no reason to think that `Encode::Guess` is not
299   safe". The po plugin nevertheless avoids using it by defining the
300   input charset (`file_in_charset`) before asking `Transtractor` to
301   read any file. NB: this hack depends on po4a internals to stay
302   the same.
304 #### To be checked
306 ##### Locale::Po4a modules
308 The modules we want to use have to be checked, as not all are safe
309 (e.g. the LaTeX module's behaviour is changed by commands included in
310 the content); they may use regexps generated from the content.
312 `Chooser.pm` only loads the plugin we tell it too: currently, this
313 means the `Text` module only.
315 `Text` module (I checked the CVS version):
317 - it does not run any external program
318 - only `do_paragraph()` builds regexp's that expand untrusted
319   variables; they seem safe to me, but someone more expert than me
320   will need to check. Joey?
322   > Freaky code, but seems ok due to use of `quotementa`.
324 ##### Text::WrapI18N
326 `Text::WrapI18N` can cause DoS (see the
327 [Debian bug #470250](http://bugs.debian.org/470250)), but it is
328 optional and we do not need the features it provides.
330 It is loaded if available by `Locale::Po4a::Common`; looking at the
331 code, I'm not sure we can prevent this at all, but maybe some symbol
332 table manipulation tricks could work; overriding
333 `Locale::Po4a::Common::wrapi18n` may be easier. I'm no expert at all
334 in this field. Joey? [[--intrigeri]]
336 > Update: Nicolas François suggests we add an option to po4a to
337 > disable it. It would do the trick, but only for people running
338 > a brand new po4a (probably too late for Lenny). Anyway, this option
339 > would have to take effect in a `BEGIN` / `eval` that I'm not
340 > familiar with. I can learn and do it, in case no Perl wizard
341 > volunteers to provide the po4a patch. [[--intrigeri]]
343 >> That doesn't really need to be in a BEGIN. This patch moves it to
344 >> `import`, and makes this disable wrap18n:
345 >> `use Locale::Po4a::Common q{nowrapi18n}` --[[Joey]]
347 <pre>
348 --- /usr/share/perl5/Locale/Po4a/Common.pm      2008-07-21 14:54:52.000000000 -0400
349 +++ Common.pm   2008-11-11 18:27:34.000000000 -0500
350 @@ -30,8 +30,16 @@
351  use strict;
352  use warnings;
353  
354 -BEGIN {
355 -    if (eval { require Text::WrapI18N }) {
356 +sub import {
357 +    my $class=shift;
358 +    my $wrapi18n=1;
359 +    if ($_[0] eq 'nowrapi18n') {
360 +       shift;
361 +       $wrapi18n=0;
362 +    }
363 +    $class->export_to_level(1, $class, @_);
365 +    if ($wrapi18n && eval { require Text::WrapI18N }) {
366      
367          # Don't bother determining the wrap column if we cannot wrap.
368          my $col=$ENV{COLUMNS};
369 </pre>
371 ##### Term::ReadKey
373 `Term::ReadKey` is not a hard dependency in our case, *i.e.* po4a
374 works nicely without it. But the po4a Debian package recommends
375 `libterm-readkey-perl`, so it will probably be installed on most
376 systems using the po plugin.
378 If `$ENV{COLUMNS}` is not set, `Locale::Po4a::Common` uses
379 `Term::ReadKey::GetTerminalSize()` to get the terminal size. How safe
380 is this?
382 Part of `Term::ReadKey` is written in C. Depending on the runtime
383 platform, this function use ioctl, environment, or C library function
384 calls, and may end up running the `resize` command (without
385 arguments).
387 IMHO, using Term::ReadKey has too far reaching implications for us to
388 be able to guarantee anything wrt. security. Since it is anyway of no
389 use in our case, I suggest we define `ENV{COLUMNS}` before loading
390 `Locale::Po4a::Common`, just to be on the safe side. Joey?
391 [[--intrigeri]]
393 > Update: adding an option to disable `Text::WrapI18N`, as Nicolas
394 > François suggested, would as a bonus disable `Term::ReadKey`
395 > as well. [[--intrigeri]]
397 ### msgmerge
399 `refreshpofiles()` runs this external program. A po4a developer
400 answered he does "not expect any security issues from it".
402 ### msgfmt
404 `isvalidpo()` runs this external program. Its security should be checked.
406 ### Fuzzing input
408 I was not able to find any public information about gettext or po4a
409 having been tested with a fuzzing program, such as `zzuf` or `fusil`.
410 Moreover, some gettext parsers seem to be quite
411 [easy to crash](http://fusil.hachoir.org/trac/browser/trunk/fuzzers/fusil-gettext),
412 so it might be useful to bang msgmerge/po4a's heads against such
413 a program in order to easily detect some of the most obvious DoS.
414 [[--intrigeri]]
416 > po4a was not fuzzy-tested, but according to one of its developers,
417 > "it would be really appreciated". [[--intrigeri]]
419 Test conditions:
421 - a 21M file containing 100 concatenated copies of all the files in my
422   `/usr/share/common-licenses/`; I had no existing PO file or
423   translated versions at hand, which renders these tests
424   quite incomplete.
425 - po4a was the Debian 0.34-2 package; the same tests were also run
426   after replacing the `Text` module with the CVS one (the core was not
427   changed in CVS since 0.34-2 was released), without any significant
428   difference in the results.
429 - Perl 5.10.0-16
431 #### po4a-gettextize
433 `po4a-gettextize` uses more or less the same po4a features as our
434 `refreshpot` function.
436 Without specifying an input charset, zzuf'ed `po4a-gettextize` quickly
437 errors out, complaining it was not able to detect the input charset;
438 it leaves no incomplete file on disk.
440 So I had to pretend the input was in UTF-8, as does the po plugin.
442 Two ways of crashing were revealed by this command-line:
444         zzuf -vc -s 0:100 -r 0.1:0.5 \
445           po4a-gettextize -f text -o markdown -M utf-8 -L utf-8 \
446             -m LICENSES >/dev/null
448 They are:
450         Malformed UTF-8 character (UTF-16 surrogate 0xdcc9) in substitution iterator at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
451         Malformed UTF-8 character (fatal) at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
453 and
455         Malformed UTF-8 character (UTF-16 surrogate 0xdcec) in substitution (s///) at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
456         Malformed UTF-8 character (fatal) at /usr/share/perl5/Locale/Po4a/Po.pm line 1443.
458 Perl seems to exit cleanly, and an incomplete PO file is written on
459 disk. I not sure whether if this is a bug in Perl or in `Po.pm`.
461 > It's fairly standard perl behavior when fed malformed utf-8. As long as it doesn't
462 > crash ikiwiki, it's probably acceptable. Ikiwiki can do some similar things itself when fed malformed utf-8 (doesn't crash tho) --[[Joey]]
464 #### po4a-translate
466 `po4a-translate` uses more or less the same po4a features as our
467 `filter` function.
469 Without specifying an input charset, same behaviour as
470 `po4a-gettextize`, so let's specify UTF-8 as input charset as of now.
472         zzuf -cv \
473           po4a-translate -d -f text -o markdown -M utf-8 -L utf-8 \
474             -k 0 -m LICENSES -p LICENSES.fr.po -l test.fr
476 ... prints tons of occurences of the following error, but a complete
477 translated document is written (obviously with some weird chars
478 inside):
480         Use of uninitialized value in string ne at /usr/share/perl5/Locale/Po4a/TransTractor.pm line 854.
481         Use of uninitialized value in string ne at /usr/share/perl5/Locale/Po4a/TransTractor.pm line 840.
482         Use of uninitialized value in pattern match (m//) at /usr/share/perl5/Locale/Po4a/Po.pm line 1002.
484 While:
486         zzuf -cv -s 0:10 -r 0.001:0.3 \
487           po4a-translate -d -f text -o markdown -M utf-8 -L utf-8 \
488             -k 0 -m LICENSES -p LICENSES.fr.po -l test.fr
490 ... seems to lose the fight, at the `readpo(LICENSES.fr.po)` step,
491 against some kind of infinite loop, deadlock, or any similar beast.
492 It does not seem to eat memory, though.
494 Whatever format module is used does not change anything. This is thus
495 probably a bug in po4a's core or in a lib it depends on.
497 The sub `read`, in `TransTractor.pm`, seems to be a good debugging
498 starting point.
500 #### msgmerge
502 `msgmerge` is run in our `refreshpofiles` function. I did not manage
503 to crash it with `zzuf`.
505 gettext/po4a rough corners
506 --------------------------
508 - fix infinite loop when synchronizing two ikiwiki (when checkouts
509   live in different directories): say bla.fr.po has been updated in
510   repo2; pulling repo2 from repo1 seems to trigger a PO update, that
511   changes bla.fr.po in repo1; then pushing repo1 to repo2 triggers
512   a PO update, that changes bla.fr.po in repo2; etc.; quickly fixed in
513   `629968fc89bced6727981c0a1138072631751fee`, by disabling references
514   in Pot files. Using `Locale::Po4a::write_if_needed` might be
515   a cleaner solution. (warning: this function runs the external
516   `diff` program, have to check security)
517 - new translations created in the web interface must get proper
518   charset/encoding gettext metadata, else the next automatic PO update
519   removes any non-ascii chars; possible solution: put such metadata
520   into the Pot file, and let it propagate; should be fixed in
521   `773de05a7a1ee68d2bed173367cf5e716884945a`, time will tell.
523 Better links
524 ------------
526 ### Page title in links
528 Using the fix to
529 [[bugs/pagetitle_function_does_not_respect_meta_titles]] from
530 [[intrigeri]]'s `meta` branch, the generated links' text is based on
531 the page titles set with the [[meta|plugins/meta]] plugin. This has to
532 be merged upstream, though.
534 Robustness tests
535 ----------------
537 ### Enabling/disabling the plugin
539 - enabling the plugin with `po_translatable_pages` set
540 - enabling the plugin without `po_translatable_pages` set: **OK**
541 - disabling the plugin: **OK**
543 ### Changing the plugin config
545 - adding existing pages to `po_translatable_pages`: **OK**
546 - removing existing pages from `po_translatable_pages`: **OK**
547 - adding a language to `po_slave_languages`: **OK**
548 - removing a language from `po_slave_languages`: **OK**
549 - changing `po_master_language`: **OK**
550 - replacing `po_master_language` with a language previously part of
551   `po_slave_languages`: needs two rebuilds, but **OK** (this is quite
552   a perverse test actually)
554 ### Creating/deleting/renaming pages
556 All cases of master/slave page creation/deletion/rename, both via RCS
557 and via CGI, have been tested.
559 ### Misc
561 - general test with `usedirs` disabled: **OK**
562 - general test with `indexpages` enabled
563 - general test with `po_link_to=default`
565 Documentation
566 -------------
568 Maybe write separate documentation depending on the people it targets:
569 translators, wiki administrators, hackers. This plugin may be complex
570 enough to deserve this.