ne pas utiliser htmlspecialchars() sur les urls, mais entites_html(), qu'on va d'ailleurs installer dans vider_url(), pour la peine (cf.  http://thread.gmane.org/gmane.comp.web.spip.devel/36769/focus=36847 )

attention, avec var_skel, on peut avoir un mauvais mes_fonctions dans le noyau (pris dans l'autre dossier_squelettes); c'est vrai aussi pour d'autres extensions, mais si on se debarrasse totalement du noyau on va beaucoup perdre en perfs... a revoir

meilleur suivi des forums + corrige un bug qui n'affichait pas l'adresse email du posteur dans le message de suivi (#537)

filtre |nom_jour parametrable. On s'appuie sur des nouveaux codes de langue 'date_jour_1_abbr' et 'date_jour_1_initiale'

|nom_jour{abbr} cherche la version abbrégée, par exemple

introduction de la boucle_DEFAUT_dist, qui permet donc de surcharger la definition par defaut des boucles (Stephane Laurent)

corrige #565. la balise spip_version chargeait minipres.php qui chargeait la langue du visiteur. + correction sur des lang_select()

changement important sur la gestion du cache : par defaut les pages deviennent 'dynamiques', et il faut indiquer #CACHE{3600,cache-client} pour qu'elles soient cachees chez le client (notamment la css de l'espace prive). Resoud le probleme du non-rafraichissment d'une page qu'on vient de recalculer, parce qu'elle est cachee trop fort cote browser

stocker dans une meta la date de derniere modif substantielle de la base de donnees... devrait pouvoir servir a des plugins + erreur nommage _DIR_SESSIONS au lieu de _DIR_TMP

le gif animé n'était plus perceptible après un premier "ajouter auteur" en Ajax, et le triangle de clic avait la pointe en bas alors que le menu était fermé.

Passage en Ajax du retrait d'un mot dans la page mot_tous, ce qui a exigé de refaire l'appel de tranches_requete dans cette page: celui-ci ne passe plus par une mémorisation dans la table SQL des appels Ajax. Du coup, le ménage à faire dans memoriser.php devenait vraiment énorme et a été fait.

Suite de renforcement de sécurité: l'aléa éphémère est renouvelé toutes les 4 heures (conséquence: ne pas attendre 4 heures pour valider le formulaire de rédaction d'un article et autre ... mais qui fait ça ?).

SVN était injoignable pendant 1 heure ==> désynchro manuelle. Je remets [7331] que [7333] a écrasé par erreur

Correction #557 au bulldozer: tous les fichiers appelant une fonction _action incluent d'office inc/actions

ecrire_meta() ne peut pas ecrire dans l base s'il n'y a pas de base (a l'install, donc)  (Alexandra)

Renforcement de la sécurité du script action/joindre: inclure plus de données dans le calcul du hash.

Auparavant ces scripts concernaient des actions assez marginales de la vie du site. Maintenant qu'ils se démultiplient pour permettre des actions en AJAX et des pages de présentation conformes au modèle REST pour tous les formulaires de l'espace privé, il devient plus important de se protéger contre le tristement célèbre "homme du milieu". En conséquence, le protocole de vérification de la recevabilité de l'action demandée est à présent plus strict.

Normalement cela devrait etre transparent aux utilisateurs honnetes, toutefois il est plus prudent d'essayer cette version localement avant un déploiement sur site.