replace deprecated mhash() with hash_mac()

fix PHP 8.1 warnings, make sure we can update the dependencies correctly

update package dependency versions

switch vhost template to matomo as well

more switching of paths to matomo

switch path to matomo

switch path to matomo

better handle missing auth header, set explicit response types to not get warnings about an empty resonse type array, match other redirect field lengths with the saved redirect field

use correct table name

update L10n for the skin/branding changes, make default operator name be 'Example', add a stance of skin documentation to the README

KaiRo bug 375 - Make branding a configuration option

also document the basic items of what users need to use this authserver as an OAuth2 login provider

make the piwik code work with IE at least down to 8

make user_id 255 characters max again, as it is in the oauth2-server-php cookbook

move settings sanitation to utils, move whitelist for client registration to settings

KaiRo bug 413 - Set up doctrine DBAL to drive the DB and do schema migration

merge DB config into normal settings - this is another part of bug 415

KaiRo bug 414 - Document setup and installation

make onload fallback actually work, and comment on piwik brokenness with IE10 or lower due to using dataset

KaiRo bug 415 - Consolidate some more setup code into the utilities class

KaiRo bug 412 - Use composer to load oauth2-server-php and doctrine DBAL

allow localhost emails (mainly for testing), make sure any query that sets a user also fetches the group id

message can contain a link, so use appendHTMLMarkup

also put piwik tracking into token request

also integrate Pwiki for those endpoints that do not actually output HTML but just JSON

move building the HTML into a function in utils, KaiRo bug 410 - Add Piwik support to the auth system

KaiRo bug 399 - Move Auth Service to using php-utility-classes

skip interstitial page when we come from login page and redirect to different domain

ignore teporary file copies

Bug 396 - Localize the Auth service (in German); including some fixes to make code code (better) localizable

add some base work for KaiRo bug 396 - adding L10n to the auth system

new locations for utilities to include, do not track those in this git repo

move actual application into a subdirectory so we can deliver other things in the same repository

extract domains from redirect URIs, fall back to client ID when that is not present

remove remember button until bug 394 can be implemented

KaiRo bug 393 - Create a grouping mechanism for user names so people with multiple logins can chose; also move some session handling functions into the utilities

KaiRo bug 392 - Create an interstitial page to confirm the user to log in

Second part of KaiRo bug 371 - Make design somewhat more appealing, make it work decently/responsively on mobile

KaiRo bug 371 - Make design somewhat more appealing

add some links back to the top page so we don't get stuck on subpages

add a comment for debugging - we may want to add an insecure local domain name for testing temporarily

make the JS compatible with older IE versions, though this is a hack that hardcodes unrelated class names

set some security flags recommended by the Mozilla Observatory

make rewrites actually work correctly so that even for JSON we do not have to supple the .php ending

suppress error as result will be fine

create an API to retrieve emails and set new clients, add very rudimentary client management so master clients for the systems can be set, auto-authorize email scope, allow refresh tokens, give them 90 days validity

remove the saved redirect when it's being used, always accept email scope

secure token requests

make login on authorize actually work and redirect back to the authorize form after login

check session and login in authorize request

move session init into utils, re-fetch session after login

first step in making the authorize target work correctly, move check for secure connection into utils

log failures and some other actions

actually use the on-disk site-specific nonce to 'pepper' passwords before hashing so that stealing the database won't even reveal weak passwords

convert AuthUtils to a non-static class and instantiate it as an object, support site-wide nonces in settings

move password functions into utils class

move helper functions to an abstract class

make password reset work and verify timecodes

make password change work and add a time-based code to our forms (still needs to be verified)

make creating users and verifying emails actually work

require JS, set cookies, make parts of login flow work

some steps to get an actual authentication going, consolidate includes, put DB configuration into /etc to not expose password

add example files to auth server