CHANGELOG.md

   1 # Changelog
   2
   3 All notable changes to this project will be documented in this file. For info on how to format all future additions to this file please reference [Keep A Changelog](https://keepachangelog.com/en/1.0.0/).
   4
   5 ## [3.0.0] - Unreleased
   6
   7 ### Security
   8
   9 - Do not use semicolon as GET parameter separator. ([#1733](https://github.com/rack/rack/pull/1733), [@jeremyevans])
  10
  11 ### SPEC Changes
  12
  13 - Response array must now be non-frozen.
  14 - Response `status` must now be an integer greater than or equal to 100.
  15 - Response `headers` must now be an unfrozen hash.
  16 - Response header keys can no longer include uppercase characters.
  17 - Response header values can be an `Array` to handle multiple values (and no longer supports `\n` encoded headers).
  18 - Response body can now respond to `#call` (streaming body) instead of `#each` (enumerable body), for the equivalent of response hijacking in previous versions.
  19 - Middleware must no longer call `#each` on the body, but they can call `#to_ary` on the body if it responds to `#to_ary`.
  20 - `rack.input` is no longer required to be rewindable.
  21 - `rack.multithread/rack.multiprocess/rack.run_once` are no longer required environment keys.
  22 - `SERVER_PROTOCOL` is now a required key, matching the HTTP protocol used in the request.
  23
  24 ### Removed
  25
  26 - Remove `rack.multithread`/`rack.multiprocess`/`rack.run_once`. These variables generally come too late to be useful. ([#1720](https://github.com/rack/rack/pull/1720), [@ioquatix], [@jeremyevans]))
  27 - Remove deprecated Rack::Request::SCHEME_WHITELIST. ([@jeremyevans])
  28 - Remove internal cookie deletion using pattern matching, there are very few practical cases where it would be useful and browsers handle it correctly without us doing anything special. ([#1844](https://github.com/rack/rack/pull/1844), [@ioquatix])
  29
  30 ### Added
  31
  32 - `Rack::Headers` added to support lower-case header keys. ([@jeremyevans])
  33 - `Rack::Utils#set_cookie_header` now supports `escape_key: false` to avoid key escaping.  ([@jeremyevans])
  34 - `Rack::RewindableInput` supports size. ([@ahorek](https://github.com/ahorek))
  35 - `Rack::RewindableInput::Middleware` added for making `rack.input` rewindable. ([@jeremyevans])
  36 - The RFC 7239 Forwarded header is now supported and considered by default when looking for information on forwarding, falling back to the X-Forwarded-* headers. `Rack::Request.forwarded_priority` accessor has been added for configuring the priority of which header to check.  ([#1423](https://github.com/rack/rack/issues/1423), [@jeremyevans])
  37 - Allow response headers to contain array of values. ([#1598](https://github.com/rack/rack/issues/1598), [@ioquatix])
  38 - Support callable body for explicit streaming support and clarify streaming response body behaviour. ([#1745](https://github.com/rack/rack/pull/1745), [@ioquatix], [#1748](https://github.com/rack/rack/pull/1748), [@wjordan])
  39
  40 ### Changed
  41
  42 - BREAKING CHANGE: Require `status` to be an Integer. ([#1662](https://github.com/rack/rack/pull/1662), [@olleolleolle](https://github.com/olleolleolle))
  43 - BREAKING CHANGE: Query parsing now treats parameters without `=` as having the empty string value instead of nil value, to conform to the URL spec. ([#1696](https://github.com/rack/rack/issues/1696), [@jeremyevans])
  44 - Relax validations around `Rack::Request#host` and `Rack::Request#hostname`. ([#1606](https://github.com/rack/rack/issues/1606), [@pvande](https://github.com/pvande))
  45 - Removed antiquated handlers: FCGI, LSWS, SCGI, Thin. ([#1658](https://github.com/rack/rack/pull/1658), [@ioquatix])
  46 - Removed options from `Rack::Builder.parse_file` and `Rack::Builder.load_file`. ([#1663](https://github.com/rack/rack/pull/1663), [@ioquatix])
  47 - `Rack::HTTP_VERSION` has been removed and the `HTTP_VERSION` env setting is no longer set in the CGI and Webrick handlers. ([#970](https://github.com/rack/rack/issues/970), [@jeremyevans])
  48 - `Rack::Request#[]` and `#[]=` now warn even in non-verbose mode. ([#1277](https://github.com/rack/rack/issues/1277), [@jeremyevans])
  49 - Decrease default allowed parameter recursion level from 100 to 32. ([#1640](https://github.com/rack/rack/issues/1640), [@jeremyevans])
  50 - Attempting to parse a multipart response with an empty body now raises Rack::Multipart::EmptyContentError. ([#1603](https://github.com/rack/rack/issues/1603), [@jeremyevans])
  51 - `Rack::Utils.secure_compare` uses OpenSSL's faster implementation if available. ([#1711](https://github.com/rack/rack/pull/1711), [@bdewater](https://github.com/bdewater))
  52 - `Rack::Request#POST` now caches an empty hash if input content type is not parseable. ([#749](https://github.com/rack/rack/pull/749), [@jeremyevans])
  53 - BREAKING CHANGE: Updated `trusted_proxy?` to match full 127.0.0.0/8 network. ([#1781](https://github.com/rack/rack/pull/1781), [@snbloch](https://github.com/snbloch))
  54 - Explicitly deprecate `Rack::File` which was an alias for `Rack::Files`. ([#1811](https://github.com/rack/rack/pull/1720), [@ioquatix]).
  55 - Moved `Rack::Session` into [separate gem](https://github.com/rack/rack-session). ([#1805](https://github.com/rack/rack/pull/1805), [@ioquatix])
  56 - `rackup -D` option to daemonizes no longer changes the working directory to the root. ([#1813](https://github.com/rack/rack/pull/1813), [@jeremyevans])
  57 - The `x-forwarded-proto` header is now considered before the `x-forwarded-scheme` header for determining the forwarded protocol. `Rack::Request.x_forwarded_proto_priority` accessor has been added for configuring the priority of which header to check.  ([#1809](https://github.com/rack/rack/issues/1809), [@jeremyevans])
  58 - `Rack::Request.forwarded_authority` (and methods that call it, such as `host`) now returns the last authority in the forwarded header, instead of the first, as earlier forwarded authorities can be forged by clients. This restores the Rack 2.1 behavior. ([#1829](https://github.com/rack/rack/issues/1809), [@jeremyevans])
  59 - Use lower case cookie attributes when creating cookies, and fold cookie attributes to lower case when reading cookies (specifically impacting `secure` and `httponly` attributes). ([#1849](https://github.com/rack/rack/pull/1849), [@ioquatix])
  60 - The response array must now be mutable (non-frozen) so middleware can modify it without allocating a new Array,therefore reducing object allocations. ([#1887](https://github.com/rack/rack/pull/1887), [#1927](https://github.com/rack/rack/pull/1927), [@amatsuda], [@ioquatix])
  61
  62 ### Fixed
  63
  64 - Make Rack::MockResponse handle non-hash headers. ([#1629](https://github.com/rack/rack/issues/1629), [@jeremyevans])
  65 - TempfileReaper now deletes temp files if application raises an exception. ([#1679](https://github.com/rack/rack/issues/1679), [@jeremyevans])
  66 - Handle cookies with values that end in '=' ([#1645](https://github.com/rack/rack/pull/1645), [@lukaso](https://github.com/lukaso))
  67 - Make `Rack::NullLogger` respond to `#fatal!` [@jeremyevans])
  68 - Fix multipart filename generation for filenames that contain spaces. Encode spaces as "%20" instead of "+" which will be decoded properly by the multipart parser. ([#1736](https://github.com/rack/rack/pull/1645), [@muirdm](https://github.com/muirdm))
  69 - `Rack::Request#scheme` returns `ws` or `wss` when one of the `X-Forwarded-Scheme` / `X-Forwarded-Proto` headers is set to `ws` or `wss`, respectively. ([#1730](https://github.com/rack/rack/issues/1730), [@erwanst](https://github.com/erwanst))
  70
  71 ## [2.2.4] - 2022-06-30
  72
  73 - Better support for lower case headers in `Rack::ETag` middleware. ([#1919](https://github.com/rack/rack/pull/1919), [@ioquatix](https://github.com/ioquatix))
  74 - Use custom exception on params too deep error. ([#1838](https://github.com/rack/rack/pull/1838), [@simi](https://github.com/simi))
  75
  76 ## [2.2.3.1] - 2022-05-27
  77
  78 - [CVE-2022-30123] Fix shell escaping issue in Common Logger
  79 - [CVE-2022-30122] Restrict parsing of broken MIME attachments
  80
  81 ## [2.2.3] - 2020-06-15
  82
  83 ### Security
  84
  85 - [[CVE-2020-8184](https://nvd.nist.gov/vuln/detail/CVE-2020-8184)] Do not allow percent-encoded cookie name to override existing cookie names. BREAKING CHANGE: Accessing cookie names that require URL encoding with decoded name no longer works. ([@fletchto99](https://github.com/fletchto99))
  86
  87 ## [2.2.2] - 2020-02-11
  88
  89 ### Fixed
  90
  91 - Fix incorrect `Rack::Request#host` value. ([#1591](https://github.com/rack/rack/pull/1591), [@ioquatix])
  92 - Revert `Rack::Handler::Thin` implementation. ([#1583](https://github.com/rack/rack/pull/1583), [@jeremyevans])
  93 - Double assignment is still needed to prevent an "unused variable" warning. ([#1589](https://github.com/rack/rack/pull/1589), [@kamipo](https://github.com/kamipo))
  94 - Fix to handle same_site option for session pool. ([#1587](https://github.com/rack/rack/pull/1587), [@kamipo](https://github.com/kamipo))
  95
  96 ## [2.2.1] - 2020-02-09
  97
  98 ### Fixed
  99
 100 - Rework `Rack::Request#ip` to handle empty `forwarded_for`. ([#1577](https://github.com/rack/rack/pull/1577), [@ioquatix])
 101
 102 ## [2.2.0] - 2020-02-08
 103
 104 ### SPEC Changes
 105
 106 - `rack.session` request environment entry must respond to `to_hash` and return unfrozen Hash. ([@jeremyevans])
 107 - Request environment cannot be frozen. ([@jeremyevans])
 108 - CGI values in the request environment with non-ASCII characters must use ASCII-8BIT encoding. ([@jeremyevans])
 109 - Improve SPEC/lint relating to SERVER_NAME, SERVER_PORT and HTTP_HOST. ([#1561](https://github.com/rack/rack/pull/1561), [@ioquatix])
 110
 111 ### Added
 112
 113 - `rackup` supports multiple `-r` options and will require all arguments. ([@jeremyevans])
 114 - `Server` supports an array of paths to require for the `:require` option. ([@khotta](https://github.com/khotta))
 115 - `Files` supports multipart range requests. ([@fatkodima](https://github.com/fatkodima))
 116 - `Multipart::UploadedFile` supports an IO-like object instead of using the filesystem, using `:filename` and `:io` options. ([@jeremyevans])
 117 - `Multipart::UploadedFile` supports keyword arguments `:path`, `:content_type`, and `:binary` in addition to positional arguments. ([@jeremyevans])
 118 - `Static` supports a `:cascade` option for calling the app if there is no matching file. ([@jeremyevans])
 119 - `Session::Abstract::SessionHash#dig`. ([@jeremyevans])
 120 - `Response.[]` and `MockResponse.[]` for creating instances using status, headers, and body. ([@ioquatix])
 121 - Convenient cache and content type methods for `Rack::Response`. ([#1555](https://github.com/rack/rack/pull/1555), [@ioquatix])
 122
 123 ### Changed
 124
 125 - `Request#params` no longer rescues EOFError. ([@jeremyevans])
 126 - `Directory` uses a streaming approach, significantly improving time to first byte for large directories. ([@jeremyevans])
 127 - `Directory` no longer includes a Parent directory link in the root directory index. ([@jeremyevans])
 128 - `QueryParser#parse_nested_query` uses original backtrace when reraising exception with new class. ([@jeremyevans])
 129 - `ConditionalGet` follows RFC 7232 precedence if both If-None-Match and If-Modified-Since headers are provided. ([@jeremyevans])
 130 - `.ru` files supports the `frozen-string-literal` magic comment. ([@eregon](https://github.com/eregon))
 131 - Rely on autoload to load constants instead of requiring internal files, make sure to require 'rack' and not just 'rack/...'. ([@jeremyevans])
 132 - BREAKING CHANGE: `Etag` will continue sending ETag even if the response should not be cached. Streaming no longer works without a workaround, see [#1619](https://github.com/rack/rack/issues/1619#issuecomment-848460528). ([@henm](https://github.com/henm))
 133 - `Request#host_with_port` no longer includes a colon for a missing or empty port. ([@AlexWayfer](https://github.com/AlexWayfer))
 134 - All handlers uses keywords arguments instead of an options hash argument. ([@ioquatix])
 135 - `Files` handling of range requests no longer return a body that supports `to_path`, to ensure range requests are handled correctly. ([@jeremyevans])
 136 - `Multipart::Generator` only includes `Content-Length` for files with paths, and `Content-Disposition` `filename` if the `UploadedFile` instance has one. ([@jeremyevans])
 137 - `Request#ssl?` is true for the `wss` scheme (secure websockets). ([@jeremyevans])
 138 - `Rack::HeaderHash` is memoized by default. ([#1549](https://github.com/rack/rack/pull/1549), [@ioquatix])
 139 - `Rack::Directory` allow directory traversal inside root directory. ([#1417](https://github.com/rack/rack/pull/1417), [@ThomasSevestre](https://github.com/ThomasSevestre))
 140 - Sort encodings by server preference. ([#1184](https://github.com/rack/rack/pull/1184), [@ioquatix], [@wjordan](https://github.com/wjordan))
 141 - Rework host/hostname/authority implementation in `Rack::Request`. `#host` and `#host_with_port` have been changed to correctly return IPv6 addresses formatted with square brackets, as defined by [RFC3986](https://tools.ietf.org/html/rfc3986#section-3.2.2). ([#1561](https://github.com/rack/rack/pull/1561), [@ioquatix])
 142 - `Rack::Builder` parsing options on first `#\` line is deprecated. ([#1574](https://github.com/rack/rack/pull/1574), [@ioquatix])
 143
 144 ### Removed
 145
 146 - `Directory#path` as it was not used and always returned nil. ([@jeremyevans])
 147 - `BodyProxy#each` as it was only needed to work around a bug in Ruby <1.9.3. ([@jeremyevans])
 148 - `URLMap::INFINITY` and `URLMap::NEGATIVE_INFINITY`, in favor of `Float::INFINITY`. ([@ch1c0t](https://github.com/ch1c0t))
 149 - Deprecation of `Rack::File`. It will be deprecated again in rack 2.2 or 3.0. ([@rafaelfranca](https://github.com/rafaelfranca))
 150 - Support for Ruby 2.2 as it is well past EOL. ([@ioquatix])
 151 - Remove `Rack::Files#response_body` as the implementation was broken. ([#1153](https://github.com/rack/rack/pull/1153), [@ioquatix])
 152 - Remove `SERVER_ADDR` which was never part of the original SPEC. ([#1573](https://github.com/rack/rack/pull/1573), [@ioquatix])
 153
 154 ### Fixed
 155
 156 - `Directory` correctly handles root paths containing glob metacharacters. ([@jeremyevans])
 157 - `Cascade` uses a new response object for each call if initialized with no apps. ([@jeremyevans])
 158 - `BodyProxy` correctly delegates keyword arguments to the body object on Ruby 2.7+. ([@jeremyevans])
 159 - `BodyProxy#method` correctly handles methods delegated to the body object. ([@jeremyevans])
 160 - `Request#host` and `Request#host_with_port` handle IPv6 addresses correctly. ([@AlexWayfer](https://github.com/AlexWayfer))
 161 - `Lint` checks when response hijacking that `rack.hijack` is called with a valid object. ([@jeremyevans])
 162 - `Response#write` correctly updates `Content-Length` if initialized with a body. ([@jeremyevans])
 163 - `CommonLogger` includes `SCRIPT_NAME` when logging. ([@Erol](https://github.com/Erol))
 164 - `Utils.parse_nested_query` correctly handles empty queries, using an empty instance of the params class instead of a hash. ([@jeremyevans])
 165 - `Directory` correctly escapes paths in links. ([@yous](https://github.com/yous))
 166 - `Request#delete_cookie` and related `Utils` methods handle `:domain` and `:path` options in same call. ([@jeremyevans])
 167 - `Request#delete_cookie` and related `Utils` methods do an exact match on `:domain` and `:path` options. ([@jeremyevans])
 168 - `Static` no longer adds headers when a gzipped file request has a 304 response. ([@chooh](https://github.com/chooh))
 169 - `ContentLength` sets `Content-Length` response header even for bodies not responding to `to_ary`. ([@jeremyevans])
 170 - Thin handler supports options passed directly to `Thin::Controllers::Controller`. ([@jeremyevans])
 171 - WEBrick handler no longer ignores `:BindAddress` option. ([@jeremyevans])
 172 - `ShowExceptions` handles invalid POST data. ([@jeremyevans])
 173 - Basic authentication requires a password, even if the password is empty. ([@jeremyevans])
 174 - `Lint` checks response is array with 3 elements, per SPEC. ([@jeremyevans])
 175 - Support for using `:SSLEnable` option when using WEBrick handler. (Gregor Melhorn)
 176 - Close response body after buffering it when buffering. ([@ioquatix])
 177 - Only accept `;` as delimiter when parsing cookies. ([@mrageh](https://github.com/mrageh))
 178 - `Utils::HeaderHash#clear` clears the name mapping as well. ([@raxoft](https://github.com/raxoft))
 179 - Support for passing `nil` `Rack::Files.new`, which notably fixes Rails' current `ActiveStorage::FileServer` implementation. ([@ioquatix])
 180
 181 ### Documentation
 182
 183 - CHANGELOG updates. ([@aupajo](https://github.com/aupajo))
 184 - Added [CONTRIBUTING](CONTRIBUTING.md). ([@dblock](https://github.com/dblock))
 185
 186 ## [2.0.9] - 2020-02-08
 187
 188 - Handle case where session id key is requested but missing ([@jeremyevans])
 189 - Restore support for code relying on `SessionId#to_s`. ([@jeremyevans])
 190 - Add support for `SameSite=None` cookie value. ([@hennikul](https://github.com/hennikul))
 191
 192 ## [2.1.2] - 2020-01-27
 193
 194 - Fix multipart parser for some files to prevent denial of service ([@aiomaster](https://github.com/aiomaster))
 195 - Fix `Rack::Builder#use` with keyword arguments ([@kamipo](https://github.com/kamipo))
 196 - Skip deflating in Rack::Deflater if Content-Length is 0 ([@jeremyevans])
 197 - Remove `SessionHash#transform_keys`, no longer needed ([@pavel](https://github.com/pavel))
 198 - Add to_hash to wrap Hash and Session classes ([@oleh-demyanyuk](https://github.com/oleh-demyanyuk))
 199 - Handle case where session id key is requested but missing ([@jeremyevans])
 200
 201 ## [2.1.1] - 2020-01-12
 202
 203 - Remove `Rack::Chunked` from `Rack::Server` default middleware. ([#1475](https://github.com/rack/rack/pull/1475), [@ioquatix])
 204 - Restore support for code relying on `SessionId#to_s`. ([@jeremyevans])
 205
 206 ## [2.1.0] - 2020-01-10
 207
 208 ### Added
 209
 210 - Add support for `SameSite=None` cookie value. ([@hennikul](https://github.com/hennikul))
 211 - Add trailer headers. ([@eileencodes](https://github.com/eileencodes))
 212 - Add MIME Types for video streaming. ([@styd](https://github.com/styd))
 213 - Add MIME Type for WASM. ([@buildrtech](https://github.com/buildrtech))
 214 - Add `Early Hints(103)` to status codes. ([@egtra](https://github.com/egtra))
 215 - Add `Too Early(425)` to status codes. ([@y-yagi]((https://github.com/y-yagi)))
 216 - Add `Bandwidth Limit Exceeded(509)` to status codes. ([@CJKinni](https://github.com/CJKinni))
 217 - Add method for custom `ip_filter`. ([@svcastaneda](https://github.com/svcastaneda))
 218 - Add boot-time profiling capabilities to `rackup`. ([@tenderlove](https://github.com/tenderlove))
 219 - Add multi mapping support for `X-Accel-Mappings` header. ([@yoshuki](https://github.com/yoshuki))
 220 - Add `sync: false` option to `Rack::Deflater`. (Eric Wong)
 221 - Add `Builder#freeze_app` to freeze application and all middleware instances. ([@jeremyevans])
 222 - Add API to extract cookies from `Rack::MockResponse`. ([@petercline](https://github.com/petercline))
 223
 224 ### Changed
 225
 226 - Don't propagate nil values from middleware. ([@ioquatix])
 227 - Lazily initialize the response body and only buffer it if required. ([@ioquatix])
 228 - Fix deflater zlib buffer errors on empty body part. ([@felixbuenemann](https://github.com/felixbuenemann))
 229 - Set `X-Accel-Redirect` to percent-encoded path. ([@diskkid](https://github.com/diskkid))
 230 - Remove unnecessary buffer growing when parsing multipart. ([@tainoe](https://github.com/tainoe))
 231 - Expand the root path in `Rack::Static` upon initialization. ([@rosenfeld](https://github.com/rosenfeld))
 232 - Make `ShowExceptions` work with binary data. ([@axyjo](https://github.com/axyjo))
 233 - Use buffer string when parsing multipart requests. ([@janko-m](https://github.com/janko-m))
 234 - Support optional UTF-8 Byte Order Mark (BOM) in config.ru. ([@mikegee](https://github.com/mikegee))
 235 - Handle `X-Forwarded-For` with optional port. ([@dpritchett](https://github.com/dpritchett))
 236 - Use `Time#httpdate` format for Expires, as proposed by RFC 7231. ([@nanaya](https://github.com/nanaya))
 237 - Make `Utils.status_code` raise an error when the status symbol is invalid instead of `500`. ([@adambutler](https://github.com/adambutler))
 238 - Rename `Request::SCHEME_WHITELIST` to `Request::ALLOWED_SCHEMES`.
 239 - Make `Multipart::Parser.get_filename` accept files with `+` in their name. ([@lucaskanashiro](https://github.com/lucaskanashiro))
 240 - Add Falcon to the default handler fallbacks. ([@ioquatix])
 241 - Update codebase to avoid string mutations in preparation for `frozen_string_literals`. ([@pat](https://github.com/pat))
 242 - Change `MockRequest#env_for` to rely on the input optionally responding to `#size` instead of `#length`. ([@janko](https://github.com/janko))
 243 - Rename `Rack::File` -> `Rack::Files` and add deprecation notice. ([@postmodern](https://github.com/postmodern))
 244 - Prefer Base64 “strict encoding” for Base64 cookies. ([@ioquatix])
 245
 246 ### Removed
 247
 248 - BREAKING CHANGE: Remove `to_ary` from Response ([@tenderlove](https://github.com/tenderlove))
 249 - Deprecate `Rack::Session::Memcache` in favor of `Rack::Session::Dalli` from dalli gem ([@fatkodima](https://github.com/fatkodima))
 250
 251 ### Fixed
 252
 253 - Eliminate warnings for Ruby 2.7. ([@osamtimizer](https://github.com/osamtimizer]))
 254
 255 ### Documentation
 256
 257 - Update broken example in `Session::Abstract::ID` documentation. ([tonytonyjan](https://github.com/tonytonyjan))
 258 - Add Padrino to the list of frameworks implementing Rack. ([@wikimatze](https://github.com/wikimatze))
 259 - Remove Mongrel from the suggested server options in the help output. ([@tricknotes](https://github.com/tricknotes))
 260 - Replace `HISTORY.md` and `NEWS.md` with `CHANGELOG.md`. ([@twitnithegirl](https://github.com/twitnithegirl))
 261 - CHANGELOG updates. ([@drenmi](https://github.com/Drenmi), [@p8](https://github.com/p8))
 262
 263 ## [2.0.8] - 2019-12-08
 264
 265 ### Security
 266
 267 - [[CVE-2019-16782](https://nvd.nist.gov/vuln/detail/CVE-2019-16782)] Prevent timing attacks targeted at session ID lookup. BREAKING CHANGE: Session ID is now a SessionId instance instead of a String. ([@tenderlove](https://github.com/tenderlove), [@rafaelfranca](https://github.com/rafaelfranca))
 268
 269 ## [1.6.12] - 2019-12-08
 270
 271 ### Security
 272
 273 - [[CVE-2019-16782](https://nvd.nist.gov/vuln/detail/CVE-2019-16782)] Prevent timing attacks targeted at session ID lookup. BREAKING CHANGE: Session ID is now a SessionId instance instead of a String. ([@tenderlove](https://github.com/tenderlove), [@rafaelfranca](https://github.com/rafaelfranca))
 274
 275 ## [2.0.7] - 2019-04-02
 276
 277 ### Fixed
 278
 279 - Remove calls to `#eof?` on Rack input in `Multipart::Parser`, as this breaks the specification. ([@matthewd](https://github.com/matthewd))
 280 - Preserve forwarded IP addresses for trusted proxy chains. ([@SamSaffron](https://github.com/SamSaffron))
 281
 282 ## [2.0.6] - 2018-11-05
 283
 284 ### Fixed
 285
 286 - [[CVE-2018-16470](https://nvd.nist.gov/vuln/detail/CVE-2018-16470)] Reduce buffer size of `Multipart::Parser` to avoid pathological parsing. ([@tenderlove](https://github.com/tenderlove))
 287 - Fix a call to a non-existing method `#accepts_html` in the `ShowExceptions` middleware. ([@tomelm](https://github.com/tomelm))
 288 - [[CVE-2018-16471](https://nvd.nist.gov/vuln/detail/CVE-2018-16471)] Whitelist HTTP and HTTPS schemes in `Request#scheme` to prevent a possible XSS attack. ([@PatrickTulskie](https://github.com/PatrickTulskie))
 289
 290 ## [2.0.5] - 2018-04-23
 291
 292 ### Fixed
 293
 294 - Record errors originating from invalid UTF8 in `MethodOverride` middleware instead of breaking. ([@mclark](https://github.com/mclark))
 295
 296 ## [2.0.4] - 2018-01-31
 297
 298 ### Changed
 299
 300 - Ensure the `Lock` middleware passes the original `env` object. ([@lugray](https://github.com/lugray))
 301 - Improve performance of `Multipart::Parser` when uploading large files. ([@tompng](https://github.com/tompng))
 302 - Increase buffer size in `Multipart::Parser` for better performance. ([@jkowens](https://github.com/jkowens))
 303 - Reduce memory usage of `Multipart::Parser` when uploading large files. ([@tompng](https://github.com/tompng))
 304 - Replace ConcurrentRuby dependency with native `Queue`. ([@devmchakan](https://github.com/devmchakan))
 305
 306 ### Fixed
 307
 308 - Require the correct digest algorithm in the `ETag` middleware. ([@matthewd](https://github.com/matthewd))
 309
 310 ### Documentation
 311
 312 - Update homepage links to use SSL. ([@hugoabonizio](https://github.com/hugoabonizio))
 313
 314 ## [2.0.3] - 2017-05-15
 315
 316 ### Changed
 317
 318 - Ensure `env` values are ASCII 8-bit encoded. ([@eileencodes](https://github.com/eileencodes))
 319
 320 ### Fixed
 321
 322 - Prevent exceptions when a class with mixins inherits from `Session::Abstract::ID`. ([@jnraine](https://github.com/jnraine))
 323
 324 ## [2.0.2] - 2017-05-08
 325
 326 ### Added
 327
 328 - Allow `Session::Abstract::SessionHash#fetch` to accept a block with a default value. ([@yannvanhalewyn](https://github.com/yannvanhalewyn))
 329 - Add `Builder#freeze_app` to freeze application and all middleware. ([@jeremyevans])
 330
 331 ### Changed
 332
 333 - Freeze default session options to avoid accidental mutation. ([@kirs](https://github.com/kirs))
 334 - Detect partial hijack without hash headers. ([@devmchakan](https://github.com/devmchakan))
 335 - Update tests to use MiniTest 6 matchers. ([@tonytonyjan](https://github.com/tonytonyjan))
 336 - Allow 205 Reset Content responses to set a Content-Length, as RFC 7231 proposes setting this to 0. ([@devmchakan](https://github.com/devmchakan))
 337
 338 ### Fixed
 339
 340 - Handle `NULL` bytes in multipart filenames. ([@casperisfine](https://github.com/casperisfine))
 341 - Remove warnings due to miscapitalized global. ([@ioquatix])
 342 - Prevent exceptions caused by a race condition on multi-threaded servers. ([@sophiedeziel](https://github.com/sophiedeziel))
 343 - Add RDoc as an explicit dependency for `doc` group. ([@tonytonyjan](https://github.com/tonytonyjan))
 344 - Record errors originating from `Multipart::Parser` in the `MethodOverride` middleware instead of letting them bubble up. ([@carlzulauf](https://github.com/carlzulauf))
 345 - Remove remaining use of removed `Utils#bytesize` method from the `File` middleware. ([@brauliomartinezlm](https://github.com/brauliomartinezlm))
 346
 347 ### Removed
 348
 349 - Remove `deflate` encoding support to reduce caching overhead. ([@devmchakan](https://github.com/devmchakan))
 350
 351 ### Documentation
 352
 353 - Update broken example in `Deflater` documentation. ([@mwpastore](https://github.com/mwpastore))
 354
 355 ## [2.0.1] - 2016-06-30
 356
 357 ### Changed
 358
 359 - Remove JSON as an explicit dependency. ([@mperham](https://github.com/mperham))
 360
 361
 362 # History/News Archive
 363 Items below this line are from the previously maintained HISTORY.md and NEWS.md files.
 364
 365 ## [2.0.0.rc1] 2016-05-06
 366 - Rack::Session::Abstract::ID is deprecated. Please change to use Rack::Session::Abstract::Persisted
 367
 368 ## [2.0.0.alpha] 2015-12-04
 369 - First-party "SameSite" cookies. Browsers omit SameSite cookies from third-party requests, closing the door on many CSRF attacks.
 370 - Pass `same_site: true` (or `:strict`) to enable: response.set_cookie 'foo', value: 'bar', same_site: true or `same_site: :lax` to use Lax enforcement: response.set_cookie 'foo', value: 'bar', same_site: :lax
 371 - Based on version 7 of the Same-site Cookies internet draft:
 372         https://tools.ietf.org/html/draft-west-first-party-cookies-07
 373 - Thanks to Ben Toews (@mastahyeti) and Bob Long (@bobjflong) for updating to drafts 5 and 7.
 374 - Add `Rack::Events` middleware for adding event based middleware: middleware that does not care about the response body, but only cares about doing work at particular points in the request / response lifecycle.
 375 - Add `Rack::Request#authority` to calculate the authority under which the response is being made (this will be handy for h2 pushes).
 376 - Add `Rack::Response::Helpers#cache_control` and `cache_control=`. Use this for setting cache control headers on your response objects.
 377 - Add `Rack::Response::Helpers#etag` and `etag=`.  Use this for setting etag values on the response.
 378 - Introduce `Rack::Response::Helpers#add_header` to add a value to a multi-valued response header. Implemented in terms of other `Response#*_header` methods, so it's available to any response-like class that includes the `Helpers` module.
 379 - Add `Rack::Request#add_header` to match.
 380 - `Rack::Session::Abstract::ID` IS DEPRECATED.  Please switch to `Rack::Session::Abstract::Persisted`. `Rack::Session::Abstract::Persisted` uses a request object rather than the `env` hash.
 381 - Pull `ENV` access inside the request object in to a module.  This will help with legacy Request objects that are ENV based but don't want to inherit from Rack::Request
 382 - Move most methods on the `Rack::Request` to a module `Rack::Request::Helpers` and use public API to get values from the request object.  This enables users to mix `Rack::Request::Helpers` in to their own objects so they can implement `(get|set|fetch|each)_header` as they see fit (for example a proxy object).
 383 - Files and directories with + in the name are served correctly. Rather than unescaping paths like a form, we unescape with a URI parser using `Rack::Utils.unescape_path`. Fixes #265
 384 - Tempfiles are automatically closed in the case that there were too
 385         many posted.
 386 - Added methods for manipulating response headers that don't assume
 387         they're stored as a Hash. Response-like classes may include the
 388         Rack::Response::Helpers module if they define these methods:
 389     - Rack::Response#has_header?
 390         - Rack::Response#get_header
 391         - Rack::Response#set_header
 392         - Rack::Response#delete_header
 393 - Introduce Util.get_byte_ranges that will parse the value of the HTTP_RANGE string passed to it without depending on the `env` hash. `byte_ranges` is deprecated in favor of this method.
 394 - Change Session internals to use Request objects for looking up session information. This allows us to only allocate one request object when dealing with session objects (rather than doing it every time we need to manipulate cookies, etc).
 395 - Add `Rack::Request#initialize_copy` so that the env is duped when the request gets duped.
 396 - Added methods for manipulating request specific data.  This includes
 397         data set as CGI parameters, and just any arbitrary data the user wants
 398         to associate with a particular request.  New methods:
 399          - Rack::Request#has_header?
 400          - Rack::Request#get_header
 401          - Rack::Request#fetch_header
 402          - Rack::Request#each_header
 403          - Rack::Request#set_header
 404          - Rack::Request#delete_header
 405 - lib/rack/utils.rb: add a method for constructing "delete" cookie
 406         headers.  This allows us to construct cookie headers without depending
 407         on the side effects of mutating a hash.
 408 - Prevent extremely deep parameters from being parsed. CVE-2015-3225
 409
 410 ## [1.6.1] 2015-05-06
 411   - Fix CVE-2014-9490, denial of service attack in OkJson
 412   - Use a monotonic time for Rack::Runtime, if available
 413   - RACK_MULTIPART_LIMIT changed to RACK_MULTIPART_PART_LIMIT (RACK_MULTIPART_LIMIT is deprecated and will be removed in 1.7.0)
 414
 415 ## [1.5.3] 2015-05-06
 416   - Fix CVE-2014-9490, denial of service attack in OkJson
 417   - Backport bug fixes to 1.5 series
 418
 419 ## [1.6.0] 2014-01-18
 420   - Response#unauthorized? helper
 421   - Deflater now accepts an options hash to control compression on a per-request level
 422   - Builder#warmup method for app preloading
 423   - Request#accept_language method to extract HTTP_ACCEPT_LANGUAGE
 424   - Add quiet mode of rack server, rackup --quiet
 425   - Update HTTP Status Codes to RFC 7231
 426   - Less strict header name validation according to RFC 2616
 427   - SPEC updated to specify headers conform to RFC7230 specification
 428   - Etag correctly marks etags as weak
 429   - Request#port supports multiple x-http-forwarded-proto values
 430   - Utils#multipart_part_limit configures the maximum number of parts a request can contain
 431   - Default host to localhost when in development mode
 432   - Various bugfixes and performance improvements
 433
 434 ## [1.5.2] 2013-02-07
 435   - Fix CVE-2013-0263, timing attack against Rack::Session::Cookie
 436   - Fix CVE-2013-0262, symlink path traversal in Rack::File
 437   - Add various methods to Session for enhanced Rails compatibility
 438   - Request#trusted_proxy? now only matches whole strings
 439   - Add JSON cookie coder, to be default in Rack 1.6+ due to security concerns
 440   - URLMap host matching in environments that don't set the Host header fixed
 441   - Fix a race condition that could result in overwritten pidfiles
 442   - Various documentation additions
 443
 444 ## [1.4.5] 2013-02-07
 445   - Fix CVE-2013-0263, timing attack against Rack::Session::Cookie
 446   - Fix CVE-2013-0262, symlink path traversal in Rack::File
 447
 448 ## [1.1.6, 1.2.8, 1.3.10] 2013-02-07
 449   - Fix CVE-2013-0263, timing attack against Rack::Session::Cookie
 450
 451 ## [1.5.1] 2013-01-28
 452   - Rack::Lint check_hijack now conforms to other parts of SPEC
 453   - Added hash-like methods to Abstract::ID::SessionHash for compatibility
 454   - Various documentation corrections
 455
 456 ## [1.5.0] 2013-01-21
 457   - Introduced hijack SPEC, for before-response and after-response hijacking
 458   - SessionHash is no longer a Hash subclass
 459   - Rack::File cache_control parameter is removed, in place of headers options
 460   - Rack::Auth::AbstractRequest#scheme now yields strings, not symbols
 461   - Rack::Utils cookie functions now format expires in RFC 2822 format
 462   - Rack::File now has a default mime type
 463   - rackup -b 'run Rack::Files.new(".")', option provides command line configs
 464   - Rack::Deflater will no longer double encode bodies
 465   - Rack::Mime#match? provides convenience for Accept header matching
 466   - Rack::Utils#q_values provides splitting for Accept headers
 467   - Rack::Utils#best_q_match provides a helper for Accept headers
 468   - Rack::Handler.pick provides convenience for finding available servers
 469   - Puma added to the list of default servers (preferred over Webrick)
 470   - Various middleware now correctly close body when replacing it
 471   - Rack::Request#params is no longer persistent with only GET params
 472   - Rack::Request#update_param and #delete_param provide persistent operations
 473   - Rack::Request#trusted_proxy? now returns true for local unix sockets
 474   - Rack::Response no longer forces Content-Types
 475   - Rack::Sendfile provides local mapping configuration options
 476   - Rack::Utils#rfc2109 provides old netscape style time output
 477   - Updated HTTP status codes
 478   - Ruby 1.8.6 likely no longer passes tests, and is no longer fully supported
 479
 480 ## [1.4.4, 1.3.9, 1.2.7, 1.1.5] 2013-01-13
 481   - [SEC] Rack::Auth::AbstractRequest no longer symbolizes arbitrary strings
 482   - Fixed erroneous test case in the 1.3.x series
 483
 484 ## [1.4.3] 2013-01-07
 485   - Security: Prevent unbounded reads in large multipart boundaries
 486
 487 ## [1.3.8] 2013-01-07
 488   - Security: Prevent unbounded reads in large multipart boundaries
 489
 490 ## [1.4.2] 2013-01-06
 491   - Add warnings when users do not provide a session secret
 492   - Fix parsing performance for unquoted filenames
 493   - Updated URI backports
 494   - Fix URI backport version matching, and silence constant warnings
 495   - Correct parameter parsing with empty values
 496   - Correct rackup '-I' flag, to allow multiple uses
 497   - Correct rackup pidfile handling
 498   - Report rackup line numbers correctly
 499   - Fix request loops caused by non-stale nonces with time limits
 500   - Fix reloader on Windows
 501   - Prevent infinite recursions from Response#to_ary
 502   - Various middleware better conforms to the body close specification
 503   - Updated language for the body close specification
 504   - Additional notes regarding ECMA escape compatibility issues
 505   - Fix the parsing of multiple ranges in range headers
 506   - Prevent errors from empty parameter keys
 507   - Added PATCH verb to Rack::Request
 508   - Various documentation updates
 509   - Fix session merge semantics (fixes rack-test)
 510   - Rack::Static :index can now handle multiple directories
 511   - All tests now utilize Rack::Lint (special thanks to Lars Gierth)
 512   - Rack::File cache_control parameter is now deprecated, and removed by 1.5
 513   - Correct Rack::Directory script name escaping
 514   - Rack::Static supports header rules for sophisticated configurations
 515   - Multipart parsing now works without a Content-Length header
 516   - New logos courtesy of Zachary Scott!
 517   - Rack::BodyProxy now explicitly defines #each, useful for C extensions
 518   - Cookies that are not URI escaped no longer cause exceptions
 519
 520 ## [1.3.7] 2013-01-06
 521   - Add warnings when users do not provide a session secret
 522   - Fix parsing performance for unquoted filenames
 523   - Updated URI backports
 524   - Fix URI backport version matching, and silence constant warnings
 525   - Correct parameter parsing with empty values
 526   - Correct rackup '-I' flag, to allow multiple uses
 527   - Correct rackup pidfile handling
 528   - Report rackup line numbers correctly
 529   - Fix request loops caused by non-stale nonces with time limits
 530   - Fix reloader on Windows
 531   - Prevent infinite recursions from Response#to_ary
 532   - Various middleware better conforms to the body close specification
 533   - Updated language for the body close specification
 534   - Additional notes regarding ECMA escape compatibility issues
 535   - Fix the parsing of multiple ranges in range headers
 536
 537 ## [1.2.6] 2013-01-06
 538   - Add warnings when users do not provide a session secret
 539   - Fix parsing performance for unquoted filenames
 540
 541 ## [1.1.4] 2013-01-06
 542   - Add warnings when users do not provide a session secret
 543
 544 ## [1.4.1] 2012-01-22
 545   - Alter the keyspace limit calculations to reduce issues with nested params
 546   - Add a workaround for multipart parsing where files contain unescaped "%"
 547   - Added Rack::Response::Helpers#method_not_allowed? (code 405)
 548   - Rack::File now returns 404 for illegal directory traversals
 549   - Rack::File now returns 405 for illegal methods (non HEAD/GET)
 550   - Rack::Cascade now catches 405 by default, as well as 404
 551   - Cookies missing '--' no longer cause an exception to be raised
 552   - Various style changes and documentation spelling errors
 553   - Rack::BodyProxy always ensures to execute its block
 554   - Additional test coverage around cookies and secrets
 555   - Rack::Session::Cookie can now be supplied either secret or old_secret
 556   - Tests are no longer dependent on set order
 557   - Rack::Static no longer defaults to serving index files
 558   - Rack.release was fixed
 559
 560 ## [1.4.0] 2011-12-28
 561   - Ruby 1.8.6 support has officially been dropped. Not all tests pass.
 562   - Raise sane error messages for broken config.ru
 563   - Allow combining run and map in a config.ru
 564   - Rack::ContentType will not set Content-Type for responses without a body
 565   - Status code 205 does not send a response body
 566   - Rack::Response::Helpers will not rely on instance variables
 567   - Rack::Utils.build_query no longer outputs '=' for nil query values
 568   - Various mime types added
 569   - Rack::MockRequest now supports HEAD
 570   - Rack::Directory now supports files that contain RFC3986 reserved chars
 571   - Rack::File now only supports GET and HEAD requests
 572   - Rack::Server#start now passes the block to Rack::Handler::<h>#run
 573   - Rack::Static now supports an index option
 574   - Added the Teapot status code
 575   - rackup now defaults to Thin instead of Mongrel (if installed)
 576   - Support added for HTTP_X_FORWARDED_SCHEME
 577   - Numerous bug fixes, including many fixes for new and alternate rubies
 578
 579 ## [1.1.3] 2011-12-28
 580   - Security fix. http://www.ocert.org/advisories/ocert-2011-003.html
 581     Further information here: http://jruby.org/2011/12/27/jruby-1-6-5-1
 582
 583 ## [1.3.5] 2011-10-17
 584   - Fix annoying warnings caused by the backport in 1.3.4
 585
 586 ## [1.3.4] 2011-10-01
 587   - Backport security fix from 1.9.3, also fixes some roundtrip issues in URI
 588   - Small documentation update
 589   - Fix an issue where BodyProxy could cause an infinite recursion
 590   - Add some supporting files for travis-ci
 591
 592 ## [1.2.4] 2011-09-16
 593   - Fix a bug with MRI regex engine to prevent XSS by malformed unicode
 594
 595 ## [1.3.3] 2011-09-16
 596   - Fix bug with broken query parameters in Rack::ShowExceptions
 597   - Rack::Request#cookies no longer swallows exceptions on broken input
 598   - Prevents XSS attacks enabled by bug in Ruby 1.8's regexp engine
 599   - Rack::ConditionalGet handles broken If-Modified-Since helpers
 600
 601 ## [1.3.2] 2011-07-16
 602   - Fix for Rails and rack-test, Rack::Utils#escape calls to_s
 603
 604 ## [1.3.1] 2011-07-13
 605   - Fix 1.9.1 support
 606   - Fix JRuby support
 607   - Properly handle $KCODE in Rack::Utils.escape
 608   - Make method_missing/respond_to behavior consistent for Rack::Lock,
 609     Rack::Auth::Digest::Request and Rack::Multipart::UploadedFile
 610   - Reenable passing rack.session to session middleware
 611   - Rack::CommonLogger handles streaming responses correctly
 612   - Rack::MockResponse calls close on the body object
 613   - Fix a DOS vector from MRI stdlib backport
 614
 615 ## [1.2.3] 2011-05-22
 616   - Pulled in relevant bug fixes from 1.3
 617   - Fixed 1.8.6 support
 618
 619 ## [1.3.0] 2011-05-22
 620   - Various performance optimizations
 621   - Various multipart fixes
 622   - Various multipart refactors
 623   - Infinite loop fix for multipart
 624   - Test coverage for Rack::Server returns
 625   - Allow files with '..', but not path components that are '..'
 626   - rackup accepts handler-specific options on the command line
 627   - Request#params no longer merges POST into GET (but returns the same)
 628   - Use URI.encode_www_form_component instead. Use core methods for escaping.
 629   - Allow multi-line comments in the config file
 630   - Bug L#94 reported by Nikolai Lugovoi, query parameter unescaping.
 631   - Rack::Response now deletes Content-Length when appropriate
 632   - Rack::Deflater now supports streaming
 633   - Improved Rack::Handler loading and searching
 634   - Support for the PATCH verb
 635   - env['rack.session.options'] now contains session options
 636   - Cookies respect renew
 637   - Session middleware uses SecureRandom.hex
 638
 639 ## [1.2.2, 1.1.2] 2011-03-13
 640   - Security fix in Rack::Auth::Digest::MD5: when authenticator
 641     returned nil, permission was granted on empty password.
 642
 643 ## [1.2.1] 2010-06-15
 644   - Make CGI handler rewindable
 645   - Rename spec/ to test/ to not conflict with SPEC on lesser
 646     operating systems
 647
 648 ## [1.2.0] 2010-06-13
 649   - Removed Camping adapter: Camping 2.0 supports Rack as-is
 650   - Removed parsing of quoted values
 651   - Add Request.trace? and Request.options?
 652   - Add mime-type for .webm and .htc
 653   - Fix HTTP_X_FORWARDED_FOR
 654   - Various multipart fixes
 655   - Switch test suite to bacon
 656
 657 ## [1.1.0] 2010-01-03
 658   - Moved Auth::OpenID to rack-contrib.
 659   - SPEC change that relaxes Lint slightly to allow subclasses of the
 660     required types
 661   - SPEC change to document rack.input binary mode in greater detail
 662   - SPEC define optional rack.logger specification
 663   - File servers support X-Cascade header
 664   - Imported Config middleware
 665   - Imported ETag middleware
 666   - Imported Runtime middleware
 667   - Imported Sendfile middleware
 668   - New Logger and NullLogger middlewares
 669   - Added mime type for .ogv and .manifest.
 670   - Don't squeeze PATH_INFO slashes
 671   - Use Content-Type to determine POST params parsing
 672   - Update Rack::Utils::HTTP_STATUS_CODES hash
 673   - Add status code lookup utility
 674   - Response should call #to_i on the status
 675   - Add Request#user_agent
 676   - Request#host knows about forwarded host
 677   - Return an empty string for Request#host if HTTP_HOST and
 678     SERVER_NAME are both missing
 679   - Allow MockRequest to accept hash params
 680   - Optimizations to HeaderHash
 681   - Refactored rackup into Rack::Server
 682   - Added Utils.build_nested_query to complement Utils.parse_nested_query
 683   - Added Utils::Multipart.build_multipart to complement
 684     Utils::Multipart.parse_multipart
 685   - Extracted set and delete cookie helpers into Utils so they can be
 686     used outside Response
 687   - Extract parse_query and parse_multipart in Request so subclasses
 688     can change their behavior
 689   - Enforce binary encoding in RewindableInput
 690   - Set correct external_encoding for handlers that don't use RewindableInput
 691
 692 ## [1.0.1] 2009-10-18
 693   - Bump remainder of rack.versions.
 694   - Support the pure Ruby FCGI implementation.
 695   - Fix for form names containing "=": split first then unescape components
 696   - Fixes the handling of the filename parameter with semicolons in names.
 697   - Add anchor to nested params parsing regexp to prevent stack overflows
 698   - Use more compatible gzip write api instead of "<<".
 699   - Make sure that Reloader doesn't break when executed via ruby -e
 700   - Make sure WEBrick respects the :Host option
 701   - Many Ruby 1.9 fixes.
 702
 703 ## [1.0.0] 2009-04-25
 704   - SPEC change: Rack::VERSION has been pushed to [1,0].
 705   - SPEC change: header values must be Strings now, split on "\n".
 706   - SPEC change: Content-Length can be missing, in this case chunked transfer
 707     encoding is used.
 708   - SPEC change: rack.input must be rewindable and support reading into
 709     a buffer, wrap with Rack::RewindableInput if it isn't.
 710   - SPEC change: rack.session is now specified.
 711   - SPEC change: Bodies can now additionally respond to #to_path with
 712     a filename to be served.
 713   - NOTE: String bodies break in 1.9, use an Array consisting of a
 714     single String instead.
 715   - New middleware Rack::Lock.
 716   - New middleware Rack::ContentType.
 717   - Rack::Reloader has been rewritten.
 718   - Major update to Rack::Auth::OpenID.
 719   - Support for nested parameter parsing in Rack::Response.
 720   - Support for redirects in Rack::Response.
 721   - HttpOnly cookie support in Rack::Response.
 722   - The Rakefile has been rewritten.
 723   - Many bugfixes and small improvements.
 724
 725 ## [0.9.1] 2009-01-09
 726   - Fix directory traversal exploits in Rack::File and Rack::Directory.
 727
 728 ## [0.9] 2009-01-06
 729   - Rack is now managed by the Rack Core Team.
 730   - Rack::Lint is stricter and follows the HTTP RFCs more closely.
 731   - Added ConditionalGet middleware.
 732   - Added ContentLength middleware.
 733   - Added Deflater middleware.
 734   - Added Head middleware.
 735   - Added MethodOverride middleware.
 736   - Rack::Mime now provides popular MIME-types and their extension.
 737   - Mongrel Header now streams.
 738   - Added Thin handler.
 739   - Official support for swiftiplied Mongrel.
 740   - Secure cookies.
 741   - Made HeaderHash case-preserving.
 742   - Many bugfixes and small improvements.
 743
 744 ## [0.4] 2008-08-21
 745   - New middleware, Rack::Deflater, by Christoffer Sawicki.
 746   - OpenID authentication now needs ruby-openid 2.
 747   - New Memcache sessions, by blink.
 748   - Explicit EventedMongrel handler, by Joshua Peek <josh@joshpeek.com>
 749   - Rack::Reloader is not loaded in rackup development mode.
 750   - rackup can daemonize with -D.
 751   - Many bugfixes, especially for pool sessions, URLMap, thread safety
 752     and tempfile handling.
 753   - Improved tests.
 754   - Rack moved to Git.
 755
 756 ## [0.3] 2008-02-26
 757   - LiteSpeed handler, by Adrian Madrid.
 758   - SCGI handler, by Jeremy Evans.
 759   - Pool sessions, by blink.
 760   - OpenID authentication, by blink.
 761   - :Port and :File options for opening FastCGI sockets, by blink.
 762   - Last-Modified HTTP header for Rack::File, by blink.
 763   - Rack::Builder#use now accepts blocks, by Corey Jewett.
 764     (See example/protectedlobster.ru)
 765   - HTTP status 201 can contain a Content-Type and a body now.
 766   - Many bugfixes, especially related to Cookie handling.
 767
 768 ## [0.2] 2007-05-16
 769   - HTTP Basic authentication.
 770   - Cookie Sessions.
 771   - Static file handler.
 772   - Improved Rack::Request.
 773   - Improved Rack::Response.
 774   - Added Rack::ShowStatus, for better default error messages.
 775   - Bug fixes in the Camping adapter.
 776   - Removed Rails adapter, was too alpha.
 777
 778 ## [0.1] 2007-03-03
 779
 780 [@ioquatix]: https://github.com/ioquatix "Samuel Williams"
 781 [@jeremyevans]: https://github.com/jeremyevans "Jeremy Evans"
 782 [@amatsuda]: https://github.com/amatsuda "Akira Matsuda"
 783 [@wjordan]: https://github.com/wjordan "Will Jordan"