Auths: fix possible OOB write in external authenticator. Bug 2999
[exim.git] / src / src / expand.c
index b014533c928d3df9c687dd593190f7702b39f336..36c9f423bedf06e844bb84a2a9aece8344a57472 100644 (file)
@@ -2,8 +2,8 @@
 *     Exim - an Internet mail transport agent    *
 *************************************************/
 
 *     Exim - an Internet mail transport agent    *
 *************************************************/
 
+/* Copyright (c) The Exim Maintainers 2020 - 2022 */
 /* Copyright (c) University of Cambridge 1995 - 2018 */
 /* Copyright (c) University of Cambridge 1995 - 2018 */
-/* Copyright (c) The Exim Maintainers 2020 */
 /* See the file NOTICE for conditions of use and distribution. */
 
 
 /* See the file NOTICE for conditions of use and distribution. */
 
 
@@ -177,7 +177,7 @@ in alphabetical order. There are two tables, because underscore is used in some
 cases to introduce arguments, whereas for other it is part of the name. This is
 an historical mis-design. */
 
 cases to introduce arguments, whereas for other it is part of the name. This is
 an historical mis-design. */
 
-static uschar *op_table_underscore[] = {
+static uschar * op_table_underscore[] = {
   US"from_utf8",
   US"local_part",
   US"quote_local_part",
   US"from_utf8",
   US"local_part",
   US"quote_local_part",
@@ -216,7 +216,6 @@ static uschar *op_table_main[] = {
   US"base62d",
   US"base64",
   US"base64d",
   US"base62d",
   US"base64",
   US"base64d",
-  US"bless",
   US"domain",
   US"escape",
   US"escape8bit",
   US"domain",
   US"escape",
   US"escape8bit",
@@ -264,7 +263,6 @@ enum {
   EOP_BASE62D,
   EOP_BASE64,
   EOP_BASE64D,
   EOP_BASE62D,
   EOP_BASE64,
   EOP_BASE64D,
-  EOP_BLESS,
   EOP_DOMAIN,
   EOP_ESCAPE,
   EOP_ESCAPE8BIT,
   EOP_DOMAIN,
   EOP_ESCAPE,
   EOP_ESCAPE8BIT,
@@ -446,9 +444,9 @@ enum vtypes {
   vtype_pspace,         /* partition space; value is T/F for spool/log */
   vtype_pinodes,        /* partition inodes; value is T/F for spool/log */
   vtype_cert           /* SSL certificate */
   vtype_pspace,         /* partition space; value is T/F for spool/log */
   vtype_pinodes,        /* partition inodes; value is T/F for spool/log */
   vtype_cert           /* SSL certificate */
-  #ifndef DISABLE_DKIM
+#ifndef DISABLE_DKIM
   ,vtype_dkim           /* Lookup of value in DKIM signature */
   ,vtype_dkim           /* Lookup of value in DKIM signature */
-  #endif
+#endif
 };
 
 /* Type for main variable table */
 };
 
 /* Type for main variable table */
@@ -585,9 +583,9 @@ static var_entry var_table[] = {
   { "interface_address",   vtype_stringptr,   &interface_address },
   { "interface_port",      vtype_int,         &interface_port },
   { "item",                vtype_stringptr,   &iterate_item },
   { "interface_address",   vtype_stringptr,   &interface_address },
   { "interface_port",      vtype_int,         &interface_port },
   { "item",                vtype_stringptr,   &iterate_item },
-  #ifdef LOOKUP_LDAP
+#ifdef LOOKUP_LDAP
   { "ldap_dn",             vtype_stringptr,   &eldap_dn },
   { "ldap_dn",             vtype_stringptr,   &eldap_dn },
-  #endif
+#endif
   { "load_average",        vtype_load_avg,    NULL },
   { "local_part",          vtype_stringptr,   &deliver_localpart },
   { "local_part_data",     vtype_stringptr,   &deliver_localpart_data },
   { "load_average",        vtype_load_avg,    NULL },
   { "local_part",          vtype_stringptr,   &deliver_localpart },
   { "local_part_data",     vtype_stringptr,   &deliver_localpart_data },
@@ -752,17 +750,8 @@ static var_entry var_table[] = {
   { "spool_directory",     vtype_stringptr,   &spool_directory },
   { "spool_inodes",        vtype_pinodes,     (void *)TRUE },
   { "spool_space",         vtype_pspace,      (void *)TRUE },
   { "spool_directory",     vtype_stringptr,   &spool_directory },
   { "spool_inodes",        vtype_pinodes,     (void *)TRUE },
   { "spool_space",         vtype_pspace,      (void *)TRUE },
-#ifdef EXPERIMENTAL_SRS_ALT
-  { "srs_db_address",      vtype_stringptr,   &srs_db_address },
-  { "srs_db_key",          vtype_stringptr,   &srs_db_key },
-  { "srs_orig_recipient",  vtype_stringptr,   &srs_orig_recipient },
-  { "srs_orig_sender",     vtype_stringptr,   &srs_orig_sender },
-#endif
-#if defined(EXPERIMENTAL_SRS_ALT) || defined(SUPPORT_SRS)
+#ifdef SUPPORT_SRS
   { "srs_recipient",       vtype_stringptr,   &srs_recipient },
   { "srs_recipient",       vtype_stringptr,   &srs_recipient },
-#endif
-#ifdef EXPERIMENTAL_SRS_ALT
-  { "srs_status",          vtype_stringptr,   &srs_status },
 #endif
   { "thisaddress",         vtype_stringptr,   &filter_thisaddress },
 
 #endif
   { "thisaddress",         vtype_stringptr,   &filter_thisaddress },
 
@@ -1298,15 +1287,16 @@ expand_getlistele(int field, const uschar * list)
 {
 const uschar * tlist = list;
 int sep = 0;
 {
 const uschar * tlist = list;
 int sep = 0;
-uschar dummy;
+/* Tainted mem for the throwaway element copies */
+uschar * dummy = store_get(2, GET_TAINTED);
 
 if (field < 0)
   {
 
 if (field < 0)
   {
-  for (field++; string_nextinlist(&tlist, &sep, &dummy, 1); ) field++;
+  for (field++; string_nextinlist(&tlist, &sep, dummy, 1); ) field++;
   sep = 0;
   }
 if (field == 0) return NULL;
   sep = 0;
   }
 if (field == 0) return NULL;
-while (--field > 0 && (string_nextinlist(&list, &sep, &dummy, 1))) ;
+while (--field > 0 && (string_nextinlist(&list, &sep, dummy, 1))) ;
 return string_nextinlist(&list, &sep, NULL, 0);
 }
 
 return string_nextinlist(&list, &sep, NULL, 0);
 }
 
@@ -1594,7 +1584,7 @@ Returns:        NULL if the header does not exist, else a pointer to a new
 */
 
 static uschar *
 */
 
 static uschar *
-find_header(uschar *name, int *newsize, unsigned flags, uschar *charset)
+find_header(uschar *name, int *newsize, unsigned flags, const uschar *charset)
 {
 BOOL found = !name;
 int len = name ? Ustrlen(name) : 0;
 {
 BOOL found = !name;
 int len = name ? Ustrlen(name) : 0;
@@ -1708,9 +1698,9 @@ authres_iprev(gstring * g)
 if (sender_host_name)
   g = string_append(g, 3, US";\n\tiprev=pass (", sender_host_name, US")");
 else if (host_lookup_deferred)
 if (sender_host_name)
   g = string_append(g, 3, US";\n\tiprev=pass (", sender_host_name, US")");
 else if (host_lookup_deferred)
-  g = string_catn(g, US";\n\tiprev=temperror", 19);
+  g = string_cat(g, US";\n\tiprev=temperror");
 else if (host_lookup_failed)
 else if (host_lookup_failed)
-  g = string_catn(g, US";\n\tiprev=fail", 13);
+  g = string_cat(g, US";\n\tiprev=fail");
 else
   return g;
 
 else
   return g;
 
@@ -1761,8 +1751,6 @@ const uschar * where;
 #ifndef EXIM_HAVE_ABSTRACT_UNIX_SOCKETS
 uschar * sname;
 #endif
 #ifndef EXIM_HAVE_ABSTRACT_UNIX_SOCKETS
 uschar * sname;
 #endif
-fd_set fds;
-struct timeval tv;
 
 if ((fd = socket(AF_UNIX, SOCK_DGRAM, 0)) < 0)
   {
 
 if ((fd = socket(AF_UNIX, SOCK_DGRAM, 0)) < 0)
   {
@@ -1806,9 +1794,7 @@ if (connect(fd, (const struct sockaddr *)&sa_un, len) < 0)
 buf[0] = NOTIFY_QUEUE_SIZE_REQ;
 if (send(fd, buf, 1, 0) < 0) { where = US"send"; goto bad; }
 
 buf[0] = NOTIFY_QUEUE_SIZE_REQ;
 if (send(fd, buf, 1, 0) < 0) { where = US"send"; goto bad; }
 
-FD_ZERO(&fds); FD_SET(fd, &fds);
-tv.tv_sec = 2; tv.tv_usec = 0;
-if (select(fd + 1, (SELECT_ARG2_TYPE *)&fds, NULL, NULL, &tv) != 1)
+if (poll_one_fd(fd, POLLIN, 2 * 1000) != 1)
   {
   DEBUG(D_expand) debug_printf("no daemon response; using local evaluation\n");
   len = snprintf(CS buf, sizeof(buf), "%u", queue_count_cached());
   {
   DEBUG(D_expand) debug_printf("no daemon response; using local evaluation\n");
   len = snprintf(CS buf, sizeof(buf), "%u", queue_count_cached());
@@ -1855,7 +1841,7 @@ Returns:        NULL if the variable does not exist, or
                 something non-NULL if exists_only is TRUE
 */
 
                 something non-NULL if exists_only is TRUE
 */
 
-static uschar *
+static const uschar *
 find_variable(uschar *name, BOOL exists_only, BOOL skipping, int *newsize)
 {
 var_entry * vp;
 find_variable(uschar *name, BOOL exists_only, BOOL skipping, int *newsize)
 {
 var_entry * vp;
@@ -1893,15 +1879,15 @@ if (Ustrncmp(name, "auth", 4) == 0)
   {
   uschar *endptr;
   int n = Ustrtoul(name + 4, &endptr, 10);
   {
   uschar *endptr;
   int n = Ustrtoul(name + 4, &endptr, 10);
-  if (*endptr == 0 && n != 0 && n <= AUTH_VARS)
-    return !auth_vars[n-1] ? US"" : auth_vars[n-1];
+  if (!*endptr && n != 0 && n <= AUTH_VARS)
+    return auth_vars[n-1] ? auth_vars[n-1] : US"";
   }
 else if (Ustrncmp(name, "regex", 5) == 0)
   {
   uschar *endptr;
   int n = Ustrtoul(name + 5, &endptr, 10);
   }
 else if (Ustrncmp(name, "regex", 5) == 0)
   {
   uschar *endptr;
   int n = Ustrtoul(name + 5, &endptr, 10);
-  if (*endptr == 0 && n != 0 && n <= REGEX_VARS)
-    return !regex_vars[n-1] ? US"" : regex_vars[n-1];
+  if (!*endptr && n != 0 && n <= REGEX_VARS)
+    return regex_vars[n-1] ? regex_vars[n-1] : US"";
   }
 
 /* For all other variables, search the table */
   }
 
 /* For all other variables, search the table */
@@ -1984,11 +1970,12 @@ switch (vp->type)
     ss = (uschar **)(val);
     if (!*ss && deliver_datafile >= 0)  /* Read body when needed */
       {
     ss = (uschar **)(val);
     if (!*ss && deliver_datafile >= 0)  /* Read body when needed */
       {
-      uschar *body;
+      uschar * body;
       off_t start_offset = SPOOL_DATA_START_OFFSET;
       int len = message_body_visible;
       off_t start_offset = SPOOL_DATA_START_OFFSET;
       int len = message_body_visible;
+
       if (len > message_size) len = message_size;
       if (len > message_size) len = message_size;
-      *ss = body = store_malloc(len+1);
+      *ss = body = store_get(len+1, GET_TAINTED);
       body[0] = 0;
       if (vp->type == vtype_msgbody_end)
        {
       body[0] = 0;
       if (vp->type == vtype_msgbody_end)
        {
@@ -2003,8 +1990,7 @@ switch (vp->type)
       if (lseek(deliver_datafile, start_offset, SEEK_SET) < 0)
        log_write(0, LOG_MAIN|LOG_PANIC_DIE, "deliver_datafile lseek: %s",
          strerror(errno));
       if (lseek(deliver_datafile, start_offset, SEEK_SET) < 0)
        log_write(0, LOG_MAIN|LOG_PANIC_DIE, "deliver_datafile lseek: %s",
          strerror(errno));
-      len = read(deliver_datafile, body, len);
-      if (len > 0)
+      if ((len = read(deliver_datafile, body, len)) > 0)
        {
        body[len] = 0;
        if (message_body_newlines)   /* Separate loops for efficiency */
        {
        body[len] = 0;
        if (message_body_newlines)   /* Separate loops for efficiency */
@@ -2544,16 +2530,13 @@ BOOL tempcond, combined_cond;
 BOOL *subcondptr;
 BOOL sub2_honour_dollar = TRUE;
 BOOL is_forany, is_json, is_jsons;
 BOOL *subcondptr;
 BOOL sub2_honour_dollar = TRUE;
 BOOL is_forany, is_json, is_jsons;
-int rc, cond_type, roffset;
+int rc, cond_type;
 int_eximarith_t num[2];
 struct stat statbuf;
 uschar * opname;
 uschar name[256];
 const uschar *sub[10];
 
 int_eximarith_t num[2];
 struct stat statbuf;
 uschar * opname;
 uschar name[256];
 const uschar *sub[10];
 
-const pcre *re;
-const uschar *rerror;
-
 for (;;)
   if (Uskip_whitespace(&s) == '!') { testfor = !testfor; s++; } else break;
 
 for (;;)
   if (Uskip_whitespace(&s) == '!') { testfor = !testfor; s++; } else break;
 
@@ -2564,7 +2547,7 @@ switch(cond_type = identify_operator(&s, &opname))
 
   case ECOND_DEF:
     {
 
   case ECOND_DEF:
     {
-    uschar * t;
+    const uschar * t;
 
     if (*s != ':')
       {
 
     if (*s != ':')
       {
@@ -2915,143 +2898,133 @@ switch(cond_type = identify_operator(&s, &opname))
     {
     case ECOND_NUM_E:
     case ECOND_NUM_EE:
     {
     case ECOND_NUM_E:
     case ECOND_NUM_EE:
-    tempcond = (num[0] == num[1]);
-    break;
+      tempcond = (num[0] == num[1]); break;
 
     case ECOND_NUM_G:
 
     case ECOND_NUM_G:
-    tempcond = (num[0] > num[1]);
-    break;
+      tempcond = (num[0] > num[1]); break;
 
     case ECOND_NUM_GE:
 
     case ECOND_NUM_GE:
-    tempcond = (num[0] >= num[1]);
-    break;
+      tempcond = (num[0] >= num[1]); break;
 
     case ECOND_NUM_L:
 
     case ECOND_NUM_L:
-    tempcond = (num[0] < num[1]);
-    break;
+      tempcond = (num[0] < num[1]); break;
 
     case ECOND_NUM_LE:
 
     case ECOND_NUM_LE:
-    tempcond = (num[0] <= num[1]);
-    break;
+      tempcond = (num[0] <= num[1]); break;
 
     case ECOND_STR_LT:
 
     case ECOND_STR_LT:
-    tempcond = (Ustrcmp(sub[0], sub[1]) < 0);
-    break;
+      tempcond = (Ustrcmp(sub[0], sub[1]) < 0); break;
 
     case ECOND_STR_LTI:
 
     case ECOND_STR_LTI:
-    tempcond = (strcmpic(sub[0], sub[1]) < 0);
-    break;
+      tempcond = (strcmpic(sub[0], sub[1]) < 0); break;
 
     case ECOND_STR_LE:
 
     case ECOND_STR_LE:
-    tempcond = (Ustrcmp(sub[0], sub[1]) <= 0);
-    break;
+      tempcond = (Ustrcmp(sub[0], sub[1]) <= 0); break;
 
     case ECOND_STR_LEI:
 
     case ECOND_STR_LEI:
-    tempcond = (strcmpic(sub[0], sub[1]) <= 0);
-    break;
+      tempcond = (strcmpic(sub[0], sub[1]) <= 0); break;
 
     case ECOND_STR_EQ:
 
     case ECOND_STR_EQ:
-    tempcond = (Ustrcmp(sub[0], sub[1]) == 0);
-    break;
+      tempcond = (Ustrcmp(sub[0], sub[1]) == 0); break;
 
     case ECOND_STR_EQI:
 
     case ECOND_STR_EQI:
-    tempcond = (strcmpic(sub[0], sub[1]) == 0);
-    break;
+      tempcond = (strcmpic(sub[0], sub[1]) == 0); break;
 
     case ECOND_STR_GT:
 
     case ECOND_STR_GT:
-    tempcond = (Ustrcmp(sub[0], sub[1]) > 0);
-    break;
+      tempcond = (Ustrcmp(sub[0], sub[1]) > 0); break;
 
     case ECOND_STR_GTI:
 
     case ECOND_STR_GTI:
-    tempcond = (strcmpic(sub[0], sub[1]) > 0);
-    break;
+      tempcond = (strcmpic(sub[0], sub[1]) > 0); break;
 
     case ECOND_STR_GE:
 
     case ECOND_STR_GE:
-    tempcond = (Ustrcmp(sub[0], sub[1]) >= 0);
-    break;
+      tempcond = (Ustrcmp(sub[0], sub[1]) >= 0); break;
 
     case ECOND_STR_GEI:
 
     case ECOND_STR_GEI:
-    tempcond = (strcmpic(sub[0], sub[1]) >= 0);
-    break;
+      tempcond = (strcmpic(sub[0], sub[1]) >= 0); break;
 
     case ECOND_MATCH:   /* Regular expression match */
 
     case ECOND_MATCH:   /* Regular expression match */
-    if (!(re = pcre_compile(CS sub[1], PCRE_COPT, CCSS &rerror,
-                           &roffset, NULL)))
       {
       {
-      expand_string_message = string_sprintf("regular expression error in "
-        "\"%s\": %s at offset %d", sub[1], rerror, roffset);
-      return NULL;
+      const pcre2_code * re;
+      PCRE2_SIZE offset;
+      int err;
+
+      if (!(re = pcre2_compile((PCRE2_SPTR)sub[1], PCRE2_ZERO_TERMINATED,
+                               PCRE_COPT, &err, &offset, pcre_cmp_ctx)))
+       {
+       uschar errbuf[128];
+       pcre2_get_error_message(err, errbuf, sizeof(errbuf));
+       expand_string_message = string_sprintf("regular expression error in "
+         "\"%s\": %s at offset %ld", sub[1], errbuf, (long)offset);
+       return NULL;
+       }
+
+      tempcond = regex_match_and_setup(re, sub[0], 0, -1);
+      break;
       }
       }
-    tempcond = regex_match_and_setup(re, sub[0], 0, -1);
-    break;
 
     case ECOND_MATCH_ADDRESS:  /* Match in an address list */
 
     case ECOND_MATCH_ADDRESS:  /* Match in an address list */
-    rc = match_address_list(sub[0], TRUE, FALSE, &(sub[1]), NULL, -1, 0, NULL);
-    goto MATCHED_SOMETHING;
+      rc = match_address_list(sub[0], TRUE, FALSE, &(sub[1]), NULL, -1, 0,
+                             CUSS &lookup_value);
+      goto MATCHED_SOMETHING;
 
     case ECOND_MATCH_DOMAIN:   /* Match in a domain list */
 
     case ECOND_MATCH_DOMAIN:   /* Match in a domain list */
-    rc = match_isinlist(sub[0], &(sub[1]), 0, &domainlist_anchor, NULL,
-      MCL_DOMAIN + MCL_NOEXPAND, TRUE, NULL);
-    goto MATCHED_SOMETHING;
+      rc = match_isinlist(sub[0], &(sub[1]), 0, &domainlist_anchor, NULL,
+       MCL_DOMAIN + MCL_NOEXPAND, TRUE, CUSS &lookup_value);
+      goto MATCHED_SOMETHING;
 
     case ECOND_MATCH_IP:       /* Match IP address in a host list */
 
     case ECOND_MATCH_IP:       /* Match IP address in a host list */
-    if (sub[0][0] != 0 && string_is_ip_address(sub[0], NULL) == 0)
-      {
-      expand_string_message = string_sprintf("\"%s\" is not an IP address",
-        sub[0]);
-      return NULL;
-      }
-    else
-      {
-      unsigned int *nullcache = NULL;
-      check_host_block cb;
-
-      cb.host_name = US"";
-      cb.host_address = sub[0];
-
-      /* If the host address starts off ::ffff: it is an IPv6 address in
-      IPv4-compatible mode. Find the IPv4 part for checking against IPv4
-      addresses. */
-
-      cb.host_ipv4 = (Ustrncmp(cb.host_address, "::ffff:", 7) == 0)?
-        cb.host_address + 7 : cb.host_address;
-
-      rc = match_check_list(
-             &sub[1],                   /* the list */
-             0,                         /* separator character */
-             &hostlist_anchor,          /* anchor pointer */
-             &nullcache,                /* cache pointer */
-             check_host,                /* function for testing */
-             &cb,                       /* argument for function */
-             MCL_HOST,                  /* type of check */
-             sub[0],                    /* text for debugging */
-             NULL);                     /* where to pass back data */
-      }
-    goto MATCHED_SOMETHING;
+      if (sub[0][0] != 0 && string_is_ip_address(sub[0], NULL) == 0)
+       {
+       expand_string_message = string_sprintf("\"%s\" is not an IP address",
+         sub[0]);
+       return NULL;
+       }
+      else
+       {
+       unsigned int *nullcache = NULL;
+       check_host_block cb;
+
+       cb.host_name = US"";
+       cb.host_address = sub[0];
+
+       /* If the host address starts off ::ffff: it is an IPv6 address in
+       IPv4-compatible mode. Find the IPv4 part for checking against IPv4
+       addresses. */
+
+       cb.host_ipv4 = (Ustrncmp(cb.host_address, "::ffff:", 7) == 0)?
+         cb.host_address + 7 : cb.host_address;
+
+       rc = match_check_list(
+              &sub[1],                   /* the list */
+              0,                         /* separator character */
+              &hostlist_anchor,          /* anchor pointer */
+              &nullcache,                /* cache pointer */
+              check_host,                /* function for testing */
+              &cb,                       /* argument for function */
+              MCL_HOST,                  /* type of check */
+              sub[0],                    /* text for debugging */
+              CUSS &lookup_value);       /* where to pass back data */
+       }
+      goto MATCHED_SOMETHING;
 
     case ECOND_MATCH_LOCAL_PART:
 
     case ECOND_MATCH_LOCAL_PART:
-    rc = match_isinlist(sub[0], &(sub[1]), 0, &localpartlist_anchor, NULL,
-      MCL_LOCALPART + MCL_NOEXPAND, TRUE, NULL);
-    /* Fall through */
-    /* VVVVVVVVVVVV */
-    MATCHED_SOMETHING:
-    switch(rc)
-      {
-      case OK:
-      tempcond = TRUE;
-      break;
-
-      case FAIL:
-      tempcond = FALSE;
-      break;
+      rc = match_isinlist(sub[0], &(sub[1]), 0, &localpartlist_anchor, NULL,
+       MCL_LOCALPART + MCL_NOEXPAND, TRUE, CUSS &lookup_value);
+      /* Fall through */
+      /* VVVVVVVVVVVV */
+      MATCHED_SOMETHING:
+      switch(rc)
+       {
+       case OK:   tempcond = TRUE;  break;
+       case FAIL: tempcond = FALSE; break;
 
 
-      case DEFER:
-      expand_string_message = string_sprintf("unable to complete match "
-        "against \"%s\": %s", sub[1], search_error_message);
-      return NULL;
-      }
+       case DEFER:
+         expand_string_message = string_sprintf("unable to complete match "
+           "against \"%s\": %s", sub[1], search_error_message);
+         return NULL;
+       }
 
 
-    break;
+      break;
 
     /* Various "encrypted" comparisons. If the second string starts with
     "{" then an encryption type is given. Default to crypt() or crypt16()
 
     /* Various "encrypted" comparisons. If the second string starts with
     "{" then an encryption type is given. Default to crypt() or crypt16()
@@ -3060,138 +3033,138 @@ switch(cond_type = identify_operator(&s, &opname))
 
     case ECOND_CRYPTEQ:
     #ifndef SUPPORT_CRYPTEQ
 
     case ECOND_CRYPTEQ:
     #ifndef SUPPORT_CRYPTEQ
-    goto COND_FAILED_NOT_COMPILED;
+      goto COND_FAILED_NOT_COMPILED;
     #else
     #else
-    if (strncmpic(sub[1], US"{md5}", 5) == 0)
-      {
-      int sublen = Ustrlen(sub[1]+5);
-      md5 base;
-      uschar digest[16];
+      if (strncmpic(sub[1], US"{md5}", 5) == 0)
+       {
+       int sublen = Ustrlen(sub[1]+5);
+       md5 base;
+       uschar digest[16];
 
 
-      md5_start(&base);
-      md5_end(&base, sub[0], Ustrlen(sub[0]), digest);
+       md5_start(&base);
+       md5_end(&base, sub[0], Ustrlen(sub[0]), digest);
 
 
-      /* If the length that we are comparing against is 24, the MD5 digest
-      is expressed as a base64 string. This is the way LDAP does it. However,
-      some other software uses a straightforward hex representation. We assume
-      this if the length is 32. Other lengths fail. */
+       /* If the length that we are comparing against is 24, the MD5 digest
+       is expressed as a base64 string. This is the way LDAP does it. However,
+       some other software uses a straightforward hex representation. We assume
+       this if the length is 32. Other lengths fail. */
 
 
-      if (sublen == 24)
-        {
-        uschar *coded = b64encode(CUS digest, 16);
-        DEBUG(D_auth) debug_printf("crypteq: using MD5+B64 hashing\n"
-          "  subject=%s\n  crypted=%s\n", coded, sub[1]+5);
-        tempcond = (Ustrcmp(coded, sub[1]+5) == 0);
-        }
-      else if (sublen == 32)
-        {
-        uschar coded[36];
-        for (int i = 0; i < 16; i++) sprintf(CS (coded+2*i), "%02X", digest[i]);
-        coded[32] = 0;
-        DEBUG(D_auth) debug_printf("crypteq: using MD5+hex hashing\n"
-          "  subject=%s\n  crypted=%s\n", coded, sub[1]+5);
-        tempcond = (strcmpic(coded, sub[1]+5) == 0);
-        }
-      else
-        {
-        DEBUG(D_auth) debug_printf("crypteq: length for MD5 not 24 or 32: "
-          "fail\n  crypted=%s\n", sub[1]+5);
-        tempcond = FALSE;
-        }
-      }
+       if (sublen == 24)
+         {
+         uschar *coded = b64encode(CUS digest, 16);
+         DEBUG(D_auth) debug_printf("crypteq: using MD5+B64 hashing\n"
+           "  subject=%s\n  crypted=%s\n", coded, sub[1]+5);
+         tempcond = (Ustrcmp(coded, sub[1]+5) == 0);
+         }
+       else if (sublen == 32)
+         {
+         uschar coded[36];
+         for (int i = 0; i < 16; i++) sprintf(CS (coded+2*i), "%02X", digest[i]);
+         coded[32] = 0;
+         DEBUG(D_auth) debug_printf("crypteq: using MD5+hex hashing\n"
+           "  subject=%s\n  crypted=%s\n", coded, sub[1]+5);
+         tempcond = (strcmpic(coded, sub[1]+5) == 0);
+         }
+       else
+         {
+         DEBUG(D_auth) debug_printf("crypteq: length for MD5 not 24 or 32: "
+           "fail\n  crypted=%s\n", sub[1]+5);
+         tempcond = FALSE;
+         }
+       }
 
 
-    else if (strncmpic(sub[1], US"{sha1}", 6) == 0)
-      {
-      int sublen = Ustrlen(sub[1]+6);
-      hctx h;
-      uschar digest[20];
+      else if (strncmpic(sub[1], US"{sha1}", 6) == 0)
+       {
+       int sublen = Ustrlen(sub[1]+6);
+       hctx h;
+       uschar digest[20];
 
 
-      sha1_start(&h);
-      sha1_end(&h, sub[0], Ustrlen(sub[0]), digest);
+       sha1_start(&h);
+       sha1_end(&h, sub[0], Ustrlen(sub[0]), digest);
 
 
-      /* If the length that we are comparing against is 28, assume the SHA1
-      digest is expressed as a base64 string. If the length is 40, assume a
-      straightforward hex representation. Other lengths fail. */
+       /* If the length that we are comparing against is 28, assume the SHA1
+       digest is expressed as a base64 string. If the length is 40, assume a
+       straightforward hex representation. Other lengths fail. */
 
 
-      if (sublen == 28)
-        {
-        uschar *coded = b64encode(CUS digest, 20);
-        DEBUG(D_auth) debug_printf("crypteq: using SHA1+B64 hashing\n"
-          "  subject=%s\n  crypted=%s\n", coded, sub[1]+6);
-        tempcond = (Ustrcmp(coded, sub[1]+6) == 0);
-        }
-      else if (sublen == 40)
-        {
-        uschar coded[44];
-        for (int i = 0; i < 20; i++) sprintf(CS (coded+2*i), "%02X", digest[i]);
-        coded[40] = 0;
-        DEBUG(D_auth) debug_printf("crypteq: using SHA1+hex hashing\n"
-          "  subject=%s\n  crypted=%s\n", coded, sub[1]+6);
-        tempcond = (strcmpic(coded, sub[1]+6) == 0);
-        }
-      else
-        {
-        DEBUG(D_auth) debug_printf("crypteq: length for SHA-1 not 28 or 40: "
-          "fail\n  crypted=%s\n", sub[1]+6);
-       tempcond = FALSE;
-        }
-      }
+       if (sublen == 28)
+         {
+         uschar *coded = b64encode(CUS digest, 20);
+         DEBUG(D_auth) debug_printf("crypteq: using SHA1+B64 hashing\n"
+           "  subject=%s\n  crypted=%s\n", coded, sub[1]+6);
+         tempcond = (Ustrcmp(coded, sub[1]+6) == 0);
+         }
+       else if (sublen == 40)
+         {
+         uschar coded[44];
+         for (int i = 0; i < 20; i++) sprintf(CS (coded+2*i), "%02X", digest[i]);
+         coded[40] = 0;
+         DEBUG(D_auth) debug_printf("crypteq: using SHA1+hex hashing\n"
+           "  subject=%s\n  crypted=%s\n", coded, sub[1]+6);
+         tempcond = (strcmpic(coded, sub[1]+6) == 0);
+         }
+       else
+         {
+         DEBUG(D_auth) debug_printf("crypteq: length for SHA-1 not 28 or 40: "
+           "fail\n  crypted=%s\n", sub[1]+6);
+         tempcond = FALSE;
+         }
+       }
 
 
-    else   /* {crypt} or {crypt16} and non-{ at start */
-           /* }-for-text-editors */
-      {
-      int which = 0;
-      uschar *coded;
+      else   /* {crypt} or {crypt16} and non-{ at start */
+            /* }-for-text-editors */
+       {
+       int which = 0;
+       uschar *coded;
 
 
-      if (strncmpic(sub[1], US"{crypt}", 7) == 0)
-        {
-        sub[1] += 7;
-        which = 1;
-        }
-      else if (strncmpic(sub[1], US"{crypt16}", 9) == 0)
-        {
-        sub[1] += 9;
-        which = 2;
-        }
-      else if (sub[1][0] == '{')               /* }-for-text-editors */
-        {
-        expand_string_message = string_sprintf("unknown encryption mechanism "
-          "in \"%s\"", sub[1]);
-        return NULL;
-        }
+       if (strncmpic(sub[1], US"{crypt}", 7) == 0)
+         {
+         sub[1] += 7;
+         which = 1;
+         }
+       else if (strncmpic(sub[1], US"{crypt16}", 9) == 0)
+         {
+         sub[1] += 9;
+         which = 2;
+         }
+       else if (sub[1][0] == '{')              /* }-for-text-editors */
+         {
+         expand_string_message = string_sprintf("unknown encryption mechanism "
+           "in \"%s\"", sub[1]);
+         return NULL;
+         }
 
 
-      switch(which)
-        {
-        case 0:  coded = US DEFAULT_CRYPT(CS sub[0], CS sub[1]); break;
-        case 1:  coded = US crypt(CS sub[0], CS sub[1]); break;
-        default: coded = US crypt16(CS sub[0], CS sub[1]); break;
-        }
+       switch(which)
+         {
+         case 0:  coded = US DEFAULT_CRYPT(CS sub[0], CS sub[1]); break;
+         case 1:  coded = US crypt(CS sub[0], CS sub[1]); break;
+         default: coded = US crypt16(CS sub[0], CS sub[1]); break;
+         }
 
 
-      #define STR(s) # s
-      #define XSTR(s) STR(s)
-      DEBUG(D_auth) debug_printf("crypteq: using %s()\n"
-        "  subject=%s\n  crypted=%s\n",
-        which == 0 ? XSTR(DEFAULT_CRYPT) : which == 1 ? "crypt" : "crypt16",
-        coded, sub[1]);
-      #undef STR
-      #undef XSTR
-
-      /* If the encrypted string contains fewer than two characters (for the
-      salt), force failure. Otherwise we get false positives: with an empty
-      string the yield of crypt() is an empty string! */
-
-      if (coded)
-       tempcond = Ustrlen(sub[1]) < 2 ? FALSE : Ustrcmp(coded, sub[1]) == 0;
-      else if (errno == EINVAL)
-       tempcond = FALSE;
-      else
-       {
-       expand_string_message = string_sprintf("crypt error: %s\n",
-         US strerror(errno));
-       return NULL;
+       #define STR(s) # s
+       #define XSTR(s) STR(s)
+       DEBUG(D_auth) debug_printf("crypteq: using %s()\n"
+         "  subject=%s\n  crypted=%s\n",
+         which == 0 ? XSTR(DEFAULT_CRYPT) : which == 1 ? "crypt" : "crypt16",
+         coded, sub[1]);
+       #undef STR
+       #undef XSTR
+
+       /* If the encrypted string contains fewer than two characters (for the
+       salt), force failure. Otherwise we get false positives: with an empty
+       string the yield of crypt() is an empty string! */
+
+       if (coded)
+         tempcond = Ustrlen(sub[1]) < 2 ? FALSE : Ustrcmp(coded, sub[1]) == 0;
+       else if (errno == EINVAL)
+         tempcond = FALSE;
+       else
+         {
+         expand_string_message = string_sprintf("crypt error: %s\n",
+           US strerror(errno));
+         return NULL;
+         }
        }
        }
-      }
-    break;
+      break;
     #endif  /* SUPPORT_CRYPTEQ */
 
     case ECOND_INLIST:
     #endif  /* SUPPORT_CRYPTEQ */
 
     case ECOND_INLIST:
@@ -3214,6 +3187,7 @@ switch(cond_type = identify_operator(&s, &opname))
         if (compare(sub[0], iterate_item) == 0)
           {
           tempcond = TRUE;
         if (compare(sub[0], iterate_item) == 0)
           {
           tempcond = TRUE;
+         lookup_value = iterate_item;
           break;
           }
        }
           break;
           }
        }
@@ -3449,9 +3423,10 @@ switch(cond_type = identify_operator(&s, &opname))
     /* ${if inbound_srs {local_part}{secret}  {yes}{no}} */
     {
     uschar * sub[2];
     /* ${if inbound_srs {local_part}{secret}  {yes}{no}} */
     {
     uschar * sub[2];
-    const pcre * re;
-    int ovec[3*(4+1)];
-    int n;
+    const pcre2_code * re;
+    pcre2_match_data * md;
+    PCRE2_SIZE * ovec;
+    int quoting = 0;
     uschar cksum[4];
     BOOL boolvalue = FALSE;
 
     uschar cksum[4];
     BOOL boolvalue = FALSE;
 
@@ -3467,18 +3442,30 @@ switch(cond_type = identify_operator(&s, &opname))
 
     re = regex_must_compile(US"^(?i)SRS0=([^=]+)=([A-Z2-7]+)=([^=]*)=(.*)$",
                            TRUE, FALSE);
 
     re = regex_must_compile(US"^(?i)SRS0=([^=]+)=([A-Z2-7]+)=([^=]*)=(.*)$",
                            TRUE, FALSE);
-    if (pcre_exec(re, NULL, CS sub[0], Ustrlen(sub[0]), 0, PCRE_EOPT,
-                 ovec, nelem(ovec)) < 0)
+    md = pcre2_match_data_create(4+1, pcre_gen_ctx);
+    if (pcre2_match(re, sub[0], PCRE2_ZERO_TERMINATED, 0, PCRE_EOPT,
+                   md, pcre_mtc_ctx) < 0)
       {
       DEBUG(D_expand) debug_printf("no match for SRS'd local-part pattern\n");
       goto srs_result;
       }
       {
       DEBUG(D_expand) debug_printf("no match for SRS'd local-part pattern\n");
       goto srs_result;
       }
+    ovec = pcre2_get_ovector_pointer(md);
+
+    if (sub[0][0] == '"')
+      quoting = 1;
+    else for (uschar * s = sub[0]; *s; s++)
+      if (!isalnum(*s) && Ustrchr(".!#$%&'*+-/=?^_`{|}~", *s) == NULL)
+       { quoting = 1; break; }
+    if (quoting)
+      DEBUG(D_expand) debug_printf_indent("auto-quoting local part\n");
 
 
-    /* Side-effect: record the decoded recipient */
+    /* Record the (quoted, if needed) decoded recipient as $srs_recipient */
 
 
-    srs_recipient = string_sprintf("%.*S@%.*S",                /* lowercased */
-                     ovec[9]-ovec[8], sub[0] + ovec[8],        /* substring 4 */
-                     ovec[7]-ovec[6], sub[0] + ovec[6]);       /* substring 3 */
+    srs_recipient = string_sprintf("%.*s%.*S%.*s@%.*S",        /* lowercased */
+                     quoting, "\"",
+                     (int) (ovec[9]-ovec[8]), sub[0] + ovec[8],  /* substr 4 */
+                     quoting, "\"",
+                     (int) (ovec[7]-ovec[6]), sub[0] + ovec[6]); /* substr 3 */
 
     /* If a zero-length secret was given, we're done.  Otherwise carry on
     and validate the given SRS local_part againt our secret. */
 
     /* If a zero-length secret was given, we're done.  Otherwise carry on
     and validate the given SRS local_part againt our secret. */
@@ -3494,6 +3481,7 @@ switch(cond_type = identify_operator(&s, &opname))
       struct timeval now;
       uschar * ss = sub[0] + ovec[4];  /* substring 2, the timestamp */
       long d;
       struct timeval now;
       uschar * ss = sub[0] + ovec[4];  /* substring 2, the timestamp */
       long d;
+      int n;
 
       gettimeofday(&now, NULL);
       now.tv_sec /= 86400;             /* days since epoch */
 
       gettimeofday(&now, NULL);
       now.tv_sec /= 86400;             /* days since epoch */
@@ -3587,7 +3575,7 @@ Returns:                the value of expand max to save
 */
 
 static int
 */
 
 static int
-save_expand_strings(uschar **save_expand_nstring, int *save_expand_nlength)
+save_expand_strings(const uschar **save_expand_nstring, int *save_expand_nlength)
 {
 for (int i = 0; i <= expand_nmax; i++)
   {
 {
 for (int i = 0; i <= expand_nmax; i++)
   {
@@ -3614,7 +3602,7 @@ Returns:                nothing
 */
 
 static void
 */
 
 static void
-restore_expand_strings(int save_expand_nmax, uschar **save_expand_nstring,
+restore_expand_strings(int save_expand_nmax, const uschar **save_expand_nstring,
   int *save_expand_nlength)
 {
 expand_nmax = save_expand_nmax;
   int *save_expand_nlength)
 {
 expand_nmax = save_expand_nmax;
@@ -3828,8 +3816,8 @@ Returns:  pointer to string containing the last three
 static uschar *
 prvs_daystamp(int day_offset)
 {
 static uschar *
 prvs_daystamp(int day_offset)
 {
-uschar *days = store_get(32, FALSE);         /* Need at least 24 for cases */
-(void)string_format(days, 32, TIME_T_FMT,    /* where TIME_T_FMT is %lld */
+uschar * days = store_get(32, GET_UNTAINTED);      /* Need at least 24 for cases */
+(void)string_format(days, 32, TIME_T_FMT,         /* where TIME_T_FMT is %lld */
   (time(NULL) + day_offset*86400)/86400);
 return (Ustrlen(days) >= 3) ? &days[Ustrlen(days)-3] : US"100";
 }
   (time(NULL) + day_offset*86400)/86400);
 return (Ustrlen(days) >= 3) ? &days[Ustrlen(days)-3] : US"100";
 }
@@ -3900,7 +3888,7 @@ chash_end(HMAC_SHA1, &h, innerhash, 20, finalhash);
 
 /* Hashing is deemed sufficient to de-taint any input data */
 
 
 /* Hashing is deemed sufficient to de-taint any input data */
 
-p = finalhash_hex = store_get(40, FALSE);
+p = finalhash_hex = store_get(40, GET_UNTAINTED);
 for (int i = 0; i < 3; i++)
   {
   *p++ = hex_digits[(finalhash[i] & 0xf0) >> 4];
 for (int i = 0; i < 3; i++)
   {
   *p++ = hex_digits[(finalhash[i] & 0xf0) >> 4];
@@ -3931,7 +3919,7 @@ Returns:       new pointer for expandable string, terminated if non-null
 */
 
 gstring *
 */
 
 gstring *
-cat_file(FILE *f, gstring *yield, uschar *eol)
+cat_file(FILE * f, gstring * yield, uschar * eol)
 {
 uschar buffer[1024];
 
 {
 uschar buffer[1024];
 
@@ -3943,8 +3931,6 @@ while (Ufgets(buffer, sizeof(buffer), f))
   if (eol && buffer[len])
     yield = string_cat(yield, eol);
   }
   if (eol && buffer[len])
     yield = string_cat(yield, eol);
   }
-
-(void) string_from_gstring(yield);
 return yield;
 }
 
 return yield;
 }
 
@@ -3966,7 +3952,6 @@ while ((rc = tls_read(tls_ctx, buffer, sizeof(buffer))) > 0)
 /* We assume that all errors, and any returns of zero bytes,
 are actually EOF. */
 
 /* We assume that all errors, and any returns of zero bytes,
 are actually EOF. */
 
-(void) string_from_gstring(yield);
 return yield;
 }
 #endif
 return yield;
 }
 #endif
@@ -4292,6 +4277,127 @@ return FALSE;   /* should not happen */
 }
 
 
 }
 
 
+/* Expand a named list.  Return false on failure. */
+static gstring *
+expand_listnamed(gstring * yield, const uschar * name, const uschar * listtype)
+{
+tree_node *t = NULL;
+const uschar * list;
+int sep = 0;
+uschar * item;
+BOOL needsep = FALSE;
+#define LISTNAMED_BUF_SIZE 256
+uschar b[LISTNAMED_BUF_SIZE];
+uschar * buffer = b;
+
+if (*name == '+') name++;
+if (!listtype)         /* no-argument version */
+  {
+  if (  !(t = tree_search(addresslist_anchor, name))
+     && !(t = tree_search(domainlist_anchor,  name))
+     && !(t = tree_search(hostlist_anchor,    name)))
+    t = tree_search(localpartlist_anchor, name);
+  }
+else switch(*listtype) /* specific list-type version */
+  {
+  case 'a': t = tree_search(addresslist_anchor,   name); break;
+  case 'd': t = tree_search(domainlist_anchor,    name); break;
+  case 'h': t = tree_search(hostlist_anchor,      name); break;
+  case 'l': t = tree_search(localpartlist_anchor, name); break;
+  default:
+    expand_string_message = US"bad suffix on \"list\" operator";
+    return yield;
+  }
+
+if(!t)
+  {
+  expand_string_message = string_sprintf("\"%s\" is not a %snamed list",
+    name, !listtype?""
+      : *listtype=='a'?"address "
+      : *listtype=='d'?"domain "
+      : *listtype=='h'?"host "
+      : *listtype=='l'?"localpart "
+      : 0);
+  return yield;
+  }
+
+list = ((namedlist_block *)(t->data.ptr))->string;
+
+/* The list could be quite long so we (re)use a buffer for each element
+rather than getting each in new memory */
+
+if (is_tainted(list)) buffer = store_get(LISTNAMED_BUF_SIZE, GET_TAINTED);
+while ((item = string_nextinlist(&list, &sep, buffer, LISTNAMED_BUF_SIZE)))
+  {
+  uschar * buf = US" : ";
+  if (needsep)
+    yield = string_catn(yield, buf, 3);
+  else
+    needsep = TRUE;
+
+  if (*item == '+')    /* list item is itself a named list */
+    {
+    yield = expand_listnamed(yield, item, listtype);
+    if (expand_string_message)
+      return yield;
+    }
+
+  else if (sep != ':') /* item from non-colon-sep list, re-quote for colon list-separator */
+    {
+    char tok[3];
+    tok[0] = sep; tok[1] = ':'; tok[2] = 0;
+
+    for(char * cp; cp = strpbrk(CCS item, tok); item = US cp)
+      {
+      yield = string_catn(yield, item, cp - CS item);
+      if (*cp++ == ':')        /* colon in a non-colon-sep list item, needs doubling */
+       yield = string_catn(yield, US"::", 2);
+      else             /* sep in item; should already be doubled; emit once */
+       {
+       yield = string_catn(yield, US tok, 1);
+       if (*cp == sep) cp++;
+       }
+      }
+    yield = string_cat(yield, item);
+    }
+  else
+    yield = string_cat(yield, item);
+  }
+return yield;
+}
+
+
+
+/************************************************/
+static void
+debug_expansion_interim(const uschar * what, const uschar * value, int nchar,
+  BOOL skipping)
+{
+DEBUG(D_noutf8)
+  debug_printf_indent("|");
+else
+  debug_printf_indent(UTF8_VERT_RIGHT);
+
+for (int fill = 11 - Ustrlen(what); fill > 0; fill--)
+  DEBUG(D_noutf8)
+    debug_printf("-");
+  else
+    debug_printf(UTF8_HORIZ);
+
+debug_printf("%s: %.*s\n", what, nchar, value);
+if (is_tainted(value))
+  {
+  DEBUG(D_noutf8)
+    debug_printf_indent("%s     \\__", skipping ? "|     " : "      ");
+  else
+    debug_printf_indent("%s",
+      skipping
+      ? UTF8_VERT "             " : "           " UTF8_UP_RIGHT UTF8_HORIZ UTF8_HORIZ);
+  debug_printf("(tainted)\n");
+  }
+}
+
+
 /*************************************************
 *                 Expand string                  *
 *************************************************/
 /*************************************************
 *                 Expand string                  *
 *************************************************/
@@ -4362,23 +4468,12 @@ expand_string_internal(const uschar *string, BOOL ket_ends, const uschar **left,
 rmark reset_point = store_mark();
 gstring * yield = string_get(Ustrlen(string) + 64);
 int item_type;
 rmark reset_point = store_mark();
 gstring * yield = string_get(Ustrlen(string) + 64);
 int item_type;
-const uschar *s = string;
-uschar *save_expand_nstring[EXPAND_MAXN+1];
+const uschar * s = string;
+const uschar * save_expand_nstring[EXPAND_MAXN+1];
 int save_expand_nlength[EXPAND_MAXN+1];
 int save_expand_nlength[EXPAND_MAXN+1];
-BOOL resetok = TRUE;
+BOOL resetok = TRUE, first = TRUE;
 
 expand_level++;
 
 expand_level++;
-DEBUG(D_expand)
-  DEBUG(D_noutf8)
-    debug_printf_indent("/%s: %s\n",
-      skipping ? "---scanning" : "considering", string);
-  else
-    debug_printf_indent(UTF8_DOWN_RIGHT "%s: %s\n",
-      skipping
-      ? UTF8_HORIZ UTF8_HORIZ UTF8_HORIZ "scanning"
-      : "considering",
-      string);
-
 f.expand_string_forcedfail = FALSE;
 expand_string_message = US"";
 
 f.expand_string_forcedfail = FALSE;
 expand_string_message = US"";
 
@@ -4390,11 +4485,26 @@ if (is_tainted(string))
   goto EXPAND_FAILED;
   }
 
   goto EXPAND_FAILED;
   }
 
-while (*s != 0)
+while (*s)
   {
   {
-  uschar *value;
   uschar name[256];
 
   uschar name[256];
 
+  DEBUG(D_expand)
+    {
+    DEBUG(D_noutf8)
+      debug_printf_indent("%c%s: %s\n",
+       first ? '/' : '|',
+       skipping ? "---scanning" : "considering", s);
+    else
+      debug_printf_indent("%s%s: %s\n",
+       first ? UTF8_DOWN_RIGHT : UTF8_VERT_RIGHT,
+       skipping
+       ? UTF8_HORIZ UTF8_HORIZ UTF8_HORIZ "scanning"
+       : "considering",
+       s);
+    first = FALSE;
+    }
+
   /* \ escapes the next character, which must exist, or else
   the expansion fails. There's a special escape, \N, which causes
   copying of the subject verbatim up to the next \N. Otherwise,
   /* \ escapes the next character, which must exist, or else
   the expansion fails. There's a special escape, \N, which causes
   copying of the subject verbatim up to the next \N. Otherwise,
@@ -4411,32 +4521,44 @@ while (*s != 0)
     if (s[1] == 'N')
       {
       const uschar * t = s + 2;
     if (s[1] == 'N')
       {
       const uschar * t = s + 2;
-      for (s = t; *s != 0; s++) if (*s == '\\' && s[1] == 'N') break;
+      for (s = t; *s ; s++) if (*s == '\\' && s[1] == 'N') break;
+
+      DEBUG(D_expand)
+       debug_expansion_interim(US"protected", t, (int)(s - t), skipping);
       yield = string_catn(yield, t, s - t);
       yield = string_catn(yield, t, s - t);
-      if (*s != 0) s += 2;
+      if (*s) s += 2;
       }
       }
-
     else
       {
       uschar ch[1];
     else
       {
       uschar ch[1];
+      DEBUG(D_expand)
+       DEBUG(D_noutf8)
+         debug_printf_indent("|backslashed: '\\%c'\n", s[1]);
+       else
+         debug_printf_indent(UTF8_VERT_RIGHT "backslashed: '\\%c'\n", s[1]);
       ch[0] = string_interpret_escape(&s);
       s++;
       yield = string_catn(yield, ch, 1);
       }
       ch[0] = string_interpret_escape(&s);
       s++;
       yield = string_catn(yield, ch, 1);
       }
-
     continue;
     }
 
     continue;
     }
 
-  /*{*/
+                                                                       /*{{*/
   /* Anything other than $ is just copied verbatim, unless we are
   looking for a terminating } character. */
 
   /* Anything other than $ is just copied verbatim, unless we are
   looking for a terminating } character. */
 
-  /*{*/
   if (ket_ends && *s == '}') break;
 
   if (*s != '$' || !honour_dollar)
     {
   if (ket_ends && *s == '}') break;
 
   if (*s != '$' || !honour_dollar)
     {
-    yield = string_catn(yield, s++, 1);
+    int i = 1;                                                         /*{*/
+    for (const uschar * t = s+1;
+       *t && *t != '$' && *t != '}' && *t != '\\'; t++) i++;
+
+    DEBUG(D_expand) debug_expansion_interim(US"text", s, i, skipping);
+
+    yield = string_catn(yield, s, i);
+    s += i;
     continue;
     }
 
     continue;
     }
 
@@ -4448,10 +4570,10 @@ while (*s != 0)
   "$header_". A non-existent header yields a NULL value; nothing is
   inserted. */ /*}*/
 
   "$header_". A non-existent header yields a NULL value; nothing is
   inserted. */ /*}*/
 
-  if (isalpha((*(++s))))
+  if (isalpha(*++s))
     {
     {
-    int len;
-    int newsize = 0;
+    const uschar * value;
+    int newsize = 0, len;
     gstring * g = NULL;
     uschar * t;
 
     gstring * g = NULL;
     uschar * t;
 
@@ -4461,13 +4583,13 @@ while (*s != 0)
     buffer. */
 
     if (!yield)
     buffer. */
 
     if (!yield)
-      g = store_get(sizeof(gstring), FALSE);
+      g = store_get(sizeof(gstring), GET_UNTAINTED);
     else if (yield->ptr == 0)
       {
       if (resetok) reset_point = store_reset(reset_point);
       yield = NULL;
       reset_point = store_mark();
     else if (yield->ptr == 0)
       {
       if (resetok) reset_point = store_reset(reset_point);
       yield = NULL;
       reset_point = store_mark();
-      g = store_get(sizeof(gstring), FALSE);   /* alloc _before_ calling find_variable() */
+      g = store_get(sizeof(gstring), GET_UNTAINTED);   /* alloc _before_ calling find_variable() */
       }
 
     /* Header */
       }
 
     /* Header */
@@ -4481,7 +4603,7 @@ while (*s != 0)
       unsigned flags = *name == 'r' ? FH_WANT_RAW
                      : *name == 'l' ? FH_WANT_RAW|FH_WANT_LIST
                      : 0;
       unsigned flags = *name == 'r' ? FH_WANT_RAW
                      : *name == 'l' ? FH_WANT_RAW|FH_WANT_LIST
                      : 0;
-      uschar * charset = *name == 'b' ? NULL : headers_charset;
+      const uschar * charset = *name == 'b' ? NULL : headers_charset;
 
       s = read_header_name(name, sizeof(name), s);
       value = find_header(name, &newsize, flags, charset);
 
       s = read_header_name(name, sizeof(name), s);
       value = find_header(name, &newsize, flags, charset);
@@ -4492,7 +4614,7 @@ while (*s != 0)
       But there is no error here - nothing gets inserted. */
 
       if (!value)
       But there is no error here - nothing gets inserted. */
 
       if (!value)
-        {
+        {                                                              /*{*/
         if (Ustrchr(name, '}')) malformed_header = TRUE;
         continue;
         }
         if (Ustrchr(name, '}')) malformed_header = TRUE;
         continue;
         }
@@ -4522,7 +4644,7 @@ while (*s != 0)
       yield = g;
       yield->size = newsize;
       yield->ptr = len;
       yield = g;
       yield->size = newsize;
       yield->ptr = len;
-      yield->s = value;
+      yield->s = US value; /* known to be in new store i.e. a copy, so deconst safe */
       }
     else
       yield = string_catn(yield, value, len);
       }
     else
       yield = string_catn(yield, value, len);
@@ -4548,14 +4670,14 @@ while (*s != 0)
     }
 
   /* After { there can be various things, but they all start with
     }
 
   /* After { there can be various things, but they all start with
-  an initial word, except for a number for a string match variable. */
+  an initial word, except for a number for a string match variable. */ /*}*/
 
 
-  if (isdigit((*(++s))))
+  if (isdigit(*++s))
     {
     int n;
     {
     int n;
-    s = read_cnumber(&n, s);           /*{*/
+    s = read_cnumber(&n, s);                                           /*{{*/
     if (*s++ != '}')
     if (*s++ != '}')
-      {                                        /*{*/
+      {
       expand_string_message = US"} expected after number";
       goto EXPAND_FAILED;
       }
       expand_string_message = US"} expected after number";
       goto EXPAND_FAILED;
       }
@@ -4572,11 +4694,16 @@ while (*s != 0)
 
   /* Allow "-" in names to cater for substrings with negative
   arguments. Since we are checking for known names after { this is
 
   /* Allow "-" in names to cater for substrings with negative
   arguments. Since we are checking for known names after { this is
-  OK. */
+  OK. */                                                               /*}*/
 
   s = read_name(name, sizeof(name), s, US"_-");
   item_type = chop_match(name, item_table, nelem(item_table));
 
 
   s = read_name(name, sizeof(name), s, US"_-");
   item_type = chop_match(name, item_table, nelem(item_table));
 
+  /* Switch on item type.  All nondefault choices should "continue* when
+  skipping, but "break" otherwise so we get debug output for the item
+  expansion. */
+  {
+  int start = gstring_length(yield);
   switch(item_type)
     {
     /* Call an ACL from an expansion.  We feed data in via $acl_arg1 - $acl_arg9.
   switch(item_type)
     {
     /* Call an ACL from an expansion.  We feed data in via $acl_arg1 - $acl_arg9.
@@ -4591,8 +4718,8 @@ while (*s != 0)
     case EITEM_ACL:
       /* ${acl {name} {arg1}{arg2}...} */
       {
     case EITEM_ACL:
       /* ${acl {name} {arg1}{arg2}...} */
       {
-      uschar *sub[10]; /* name + arg1-arg9 (which must match number of acl_arg[]) */
-      uschar *user_msg;
+      uschar * sub[10];        /* name + arg1-arg9 (which must match number of acl_arg[]) */
+      uschar * user_msg;
       int rc;
 
       switch(read_subs(sub, nelem(sub), 1, &s, skipping, TRUE, name,
       int rc;
 
       switch(read_subs(sub, nelem(sub), 1, &s, skipping, TRUE, name,
@@ -4613,7 +4740,7 @@ while (*s != 0)
            debug_printf_indent("acl expansion yield: %s\n", user_msg);
          if (user_msg)
             yield = string_cat(yield, user_msg);
            debug_printf_indent("acl expansion yield: %s\n", user_msg);
          if (user_msg)
             yield = string_cat(yield, user_msg);
-         continue;
+         break;
 
        case DEFER:
           f.expand_string_forcedfail = TRUE;
 
        case DEFER:
           f.expand_string_forcedfail = TRUE;
@@ -4623,12 +4750,13 @@ while (*s != 0)
            rc_names[rc], sub[0]);
          goto EXPAND_FAILED;
        }
            rc_names[rc], sub[0]);
          goto EXPAND_FAILED;
        }
+      break;
       }
 
     case EITEM_AUTHRESULTS:
       /* ${authresults {mysystemname}} */
       {
       }
 
     case EITEM_AUTHRESULTS:
       /* ${authresults {mysystemname}} */
       {
-      uschar *sub_arg[1];
+      uschar * sub_arg[1];
 
       switch(read_subs(sub_arg, nelem(sub_arg), 1, &s, skipping, TRUE, name,
                      &resetok))
 
       switch(read_subs(sub_arg, nelem(sub_arg), 1, &s, skipping, TRUE, name,
                      &resetok))
@@ -4657,7 +4785,7 @@ while (*s != 0)
 #ifdef EXPERIMENTAL_ARC
       yield = authres_arc(yield);
 #endif
 #ifdef EXPERIMENTAL_ARC
       yield = authres_arc(yield);
 #endif
-      continue;
+      break;
       }
 
     /* Handle conditionals - preserve the values of the numerical expansion
       }
 
     /* Handle conditionals - preserve the values of the numerical expansion
@@ -4671,27 +4799,18 @@ while (*s != 0)
       const uschar *next_s;
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
       const uschar *next_s;
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
+      uschar * save_lookup_value = lookup_value;
 
       Uskip_whitespace(&s);
       if (!(next_s = eval_condition(s, &resetok, skipping ? NULL : &cond)))
        goto EXPAND_FAILED;  /* message already set */
 
       DEBUG(D_expand)
 
       Uskip_whitespace(&s);
       if (!(next_s = eval_condition(s, &resetok, skipping ? NULL : &cond)))
        goto EXPAND_FAILED;  /* message already set */
 
       DEBUG(D_expand)
-       DEBUG(D_noutf8)
-         {
-         debug_printf_indent("|--condition: %.*s\n", (int)(next_s - s), s);
-         debug_printf_indent("|-----result: %s\n", cond ? "true" : "false");
-         }
-       else
-         {
-         debug_printf_indent(UTF8_VERT_RIGHT UTF8_HORIZ UTF8_HORIZ
-           "condition: %.*s\n",
-           (int)(next_s - s), s);
-         debug_printf_indent(UTF8_VERT_RIGHT UTF8_HORIZ UTF8_HORIZ
-           UTF8_HORIZ UTF8_HORIZ UTF8_HORIZ
-           "result: %s\n",
-           cond ? "true" : "false");
-         }
+       {
+       debug_expansion_interim(US"condition", s, (int)(next_s - s), skipping);
+       debug_expansion_interim(US"result",
+         cond ? US"true" : US"false", cond ? 4 : 5, skipping);
+       }
 
       s = next_s;
 
 
       s = next_s;
 
@@ -4714,14 +4833,15 @@ while (*s != 0)
       /* Restore external setting of expansion variables for continuation
       at this level. */
 
       /* Restore external setting of expansion variables for continuation
       at this level. */
 
+      lookup_value = save_lookup_value;
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
-      continue;
+      break;
       }
 
 #ifdef SUPPORT_I18N
     case EITEM_IMAPFOLDER:
       }
 
 #ifdef SUPPORT_I18N
     case EITEM_IMAPFOLDER:
-      {                                /* ${imapfolder {name}{sep]{specials}} */
+      {                                /* ${imapfolder {name}{sep}{specials}} */
       uschar *sub_arg[3];
       uschar *encoded;
 
       uschar *sub_arg[3];
       uschar *encoded;
 
@@ -4747,14 +4867,13 @@ while (*s != 0)
        goto EXPAND_FAILED;
        }
 
        goto EXPAND_FAILED;
        }
 
-      if (!skipping)
-       {
-       if (!(encoded = imap_utf7_encode(sub_arg[0], headers_charset,
-                           sub_arg[1][0], sub_arg[2], &expand_string_message)))
-         goto EXPAND_FAILED;
-       yield = string_cat(yield, encoded);
-       }
-      continue;
+      if (skipping) continue;
+
+      if (!(encoded = imap_utf7_encode(sub_arg[0], headers_charset,
+                         sub_arg[1][0], sub_arg[2], &expand_string_message)))
+       goto EXPAND_FAILED;
+      yield = string_cat(yield, encoded);
+      break;
       }
 #endif
 
       }
 #endif
 
@@ -4770,13 +4889,13 @@ while (*s != 0)
       int stype, partial, affixlen, starflags;
       int expand_setup = 0;
       int nameptr = 0;
       int stype, partial, affixlen, starflags;
       int expand_setup = 0;
       int nameptr = 0;
-      uschar *key, *filename;
+      uschar * key, * filename;
       const uschar * affix, * opts;
       const uschar * affix, * opts;
-      uschar *save_lookup_value = lookup_value;
+      uschar * save_lookup_value = lookup_value;
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
 
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
 
-      if ((expand_forbid & RDO_LOOKUP) != 0)
+      if (expand_forbid & RDO_LOOKUP)
         {
         expand_string_message = US"lookup expansions are not permitted";
         goto EXPAND_FAILED;
         {
         expand_string_message = US"lookup expansions are not permitted";
         goto EXPAND_FAILED;
@@ -4840,15 +4959,12 @@ while (*s != 0)
           goto EXPAND_FAILED;
           }
         }
           goto EXPAND_FAILED;
           }
         }
-      else
-        {
-        if (key)
-          {
-          expand_string_message = string_sprintf("a single key was given for "
-            "lookup type \"%s\", which is not a single-key lookup type", name);
-          goto EXPAND_FAILED;
-          }
-        }
+      else if (key)
+       {
+       expand_string_message = string_sprintf("a single key was given for "
+         "lookup type \"%s\", which is not a single-key lookup type", name);
+       goto EXPAND_FAILED;
+       }
 
       /* Get the next string in brackets and expand it. It is the file name for
       single-key+file lookups, and the whole query otherwise. In the case of
 
       /* Get the next string in brackets and expand it. It is the file name for
       single-key+file lookups, and the whole query otherwise. In the case of
@@ -4858,10 +4974,11 @@ while (*s != 0)
       if (*s != '{')
         {
        expand_string_message = US"missing '{' for lookup file-or-query arg";
       if (*s != '{')
         {
        expand_string_message = US"missing '{' for lookup file-or-query arg";
-       goto EXPAND_FAILED_CURLY;
+       goto EXPAND_FAILED_CURLY;                                               /*}}*/
        }
       if (!(filename = expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok)))
        goto EXPAND_FAILED;
        }
       if (!(filename = expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok)))
        goto EXPAND_FAILED;
+                                                                               /*{{*/
       if (*s++ != '}')
         {
        expand_string_message = US"missing '}' closing lookup file-or-query arg";
       if (*s++ != '}')
         {
        expand_string_message = US"missing '}' closing lookup file-or-query arg";
@@ -4875,21 +4992,7 @@ while (*s != 0)
       file types, the query (i.e. "key") starts with a file name. */
 
       if (!key)
       file types, the query (i.e. "key") starts with a file name. */
 
       if (!key)
-        {
-       Uskip_whitespace(&filename);
-        key = filename;
-
-        if (mac_islookup(stype, lookup_querystyle))
-          filename = NULL;
-        else
-          if (*filename == '/')
-           {
-           while (*key && !isspace(*key)) key++;
-           if (*key) *key++ = '\0';
-           }
-         else
-           filename = NULL;
-        }
+       key = search_args(stype, name, filename, &filename, opts);
 
       /* If skipping, don't do the next bit - just lookup_value == NULL, as if
       the entry was not found. Note that there is no search_close() function.
 
       /* If skipping, don't do the next bit - just lookup_value == NULL, as if
       the entry was not found. Note that there is no search_close() function.
@@ -4908,7 +5011,7 @@ while (*s != 0)
         lookup_value = NULL;
       else
         {
         lookup_value = NULL;
       else
         {
-        void *handle = search_open(filename, stype, 0, NULL, NULL);
+        void * handle = search_open(filename, stype, 0, NULL, NULL);
         if (!handle)
           {
           expand_string_message = search_error_message;
         if (!handle)
           {
           expand_string_message = search_error_message;
@@ -4920,7 +5023,7 @@ while (*s != 0)
           {
           expand_string_message =
             string_sprintf("lookup of \"%s\" gave DEFER: %s",
           {
           expand_string_message =
             string_sprintf("lookup of \"%s\" gave DEFER: %s",
-              string_printing2(key, FALSE), search_error_message);
+              string_printing2(key, SP_TAB), search_error_message);
           goto EXPAND_FAILED;
           }
         if (expand_setup > 0) expand_nmax = expand_setup;
           goto EXPAND_FAILED;
           }
         if (expand_setup > 0) expand_nmax = expand_setup;
@@ -4947,28 +5050,30 @@ while (*s != 0)
 
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
 
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
-      continue;
-      }
 
 
-    /* If Perl support is configured, handle calling embedded perl subroutines,
+      if (skipping) continue;
+      break;
+      }
+
+    /* If Perl support is configured, handle calling embedded perl subroutines,
     unless locked out at this time. Syntax is ${perl{sub}} or ${perl{sub}{arg}}
     or ${perl{sub}{arg1}{arg2}} or up to a maximum of EXIM_PERL_MAX_ARGS
     arguments (defined below). */
 
     unless locked out at this time. Syntax is ${perl{sub}} or ${perl{sub}{arg}}
     or ${perl{sub}{arg1}{arg2}} or up to a maximum of EXIM_PERL_MAX_ARGS
     arguments (defined below). */
 
-    #define EXIM_PERL_MAX_ARGS 8
+#define EXIM_PERL_MAX_ARGS 8
 
     case EITEM_PERL:
 
     case EITEM_PERL:
-    #ifndef EXIM_PERL
-    expand_string_message = US"\"${perl\" encountered, but this facility "     /*}*/
-      "is not included in this binary";
-    goto EXPAND_FAILED;
+#ifndef EXIM_PERL
+      expand_string_message = US"\"${perl\" encountered, but this facility "   /*}*/
+       "is not included in this binary";
+      goto EXPAND_FAILED;
 
 
-    #else   /* EXIM_PERL */
+#else   /* EXIM_PERL */
       {
       {
-      uschar *sub_arg[EXIM_PERL_MAX_ARGS + 2];
-      gstring *new_yield;
+      uschar * sub_arg[EXIM_PERL_MAX_ARGS + 2];
+      gstring * new_yield;
 
 
-      if ((expand_forbid & RDO_PERL) != 0)
+      if (expand_forbid & RDO_PERL)
         {
         expand_string_message = US"Perl calls are not permitted";
         goto EXPAND_FAILED;
         {
         expand_string_message = US"Perl calls are not permitted";
         goto EXPAND_FAILED;
@@ -4990,7 +5095,7 @@ while (*s != 0)
 
       if (!opt_perl_started)
         {
 
       if (!opt_perl_started)
         {
-        uschar *initerror;
+        uschar * initerror;
         if (!opt_perl_startup)
           {
           expand_string_message = US"A setting of perl_startup is needed when "
         if (!opt_perl_startup)
           {
           expand_string_message = US"A setting of perl_startup is needed when "
@@ -5034,17 +5139,16 @@ while (*s != 0)
 
       f.expand_string_forcedfail = FALSE;
       yield = new_yield;
 
       f.expand_string_forcedfail = FALSE;
       yield = new_yield;
-      continue;
+      break;
       }
       }
-    #endif /* EXIM_PERL */
+#endif /* EXIM_PERL */
 
     /* Transform email address to "prvs" scheme to use
        as BATV-signed return path */
 
     case EITEM_PRVS:
       {
 
     /* Transform email address to "prvs" scheme to use
        as BATV-signed return path */
 
     case EITEM_PRVS:
       {
-      uschar *sub_arg[3];
-      uschar *p,*domain;
+      uschar * sub_arg[3], * p, * domain;
 
       switch(read_subs(sub_arg, 3, 2, &s, skipping, TRUE, name, &resetok))
         {
 
       switch(read_subs(sub_arg, 3, 2, &s, skipping, TRUE, name, &resetok))
         {
@@ -5093,17 +5197,16 @@ while (*s != 0)
       yield = string_catn(yield, US"@", 1);
       yield = string_cat (yield, domain);
 
       yield = string_catn(yield, US"@", 1);
       yield = string_cat (yield, domain);
 
-      continue;
+      break;
       }
 
     /* Check a prvs-encoded address for validity */
 
     case EITEM_PRVSCHECK:
       {
       }
 
     /* Check a prvs-encoded address for validity */
 
     case EITEM_PRVSCHECK:
       {
-      uschar *sub_arg[3];
+      uschar * sub_arg[3], * p;
       gstring * g;
       gstring * g;
-      const pcre *re;
-      uschar *p;
+      const pcre2_code * re;
 
       /* TF: Ugliness: We want to expand parameter 1 first, then set
          up expansion variables that are used in the expansion of
 
       /* TF: Ugliness: We want to expand parameter 1 first, then set
          up expansion variables that are used in the expansion of
@@ -5113,7 +5216,7 @@ while (*s != 0)
          PH: Actually, that isn't necessary. The read_subs() function is
          designed to work this way for the ${if and ${lookup expansions. I've
          tidied the code.
          PH: Actually, that isn't necessary. The read_subs() function is
          designed to work this way for the ${if and ${lookup expansions. I've
          tidied the code.
-      */
+      */                                                               /*}}*/
 
       /* Reset expansion variables */
       prvscheck_result = NULL;
 
       /* Reset expansion variables */
       prvscheck_result = NULL;
@@ -5132,11 +5235,11 @@ while (*s != 0)
 
       if (regex_match_and_setup(re,sub_arg[0],0,-1))
         {
 
       if (regex_match_and_setup(re,sub_arg[0],0,-1))
         {
-        uschar *local_part = string_copyn(expand_nstring[4],expand_nlength[4]);
-        uschar *key_num = string_copyn(expand_nstring[1],expand_nlength[1]);
-        uschar *daystamp = string_copyn(expand_nstring[2],expand_nlength[2]);
-        uschar *hash = string_copyn(expand_nstring[3],expand_nlength[3]);
-        uschar *domain = string_copyn(expand_nstring[5],expand_nlength[5]);
+        uschar * local_part = string_copyn(expand_nstring[4],expand_nlength[4]);
+        uschar * key_num = string_copyn(expand_nstring[1],expand_nlength[1]);
+        uschar * daystamp = string_copyn(expand_nstring[2],expand_nlength[2]);
+        uschar * hash = string_copyn(expand_nstring[3],expand_nlength[3]);
+        uschar * domain = string_copyn(expand_nstring[5],expand_nlength[5]);
 
         DEBUG(D_expand) debug_printf_indent("prvscheck localpart: %s\n", local_part);
         DEBUG(D_expand) debug_printf_indent("prvscheck key number: %s\n", key_num);
 
         DEBUG(D_expand) debug_printf_indent("prvscheck localpart: %s\n", local_part);
         DEBUG(D_expand) debug_printf_indent("prvscheck key number: %s\n", key_num);
@@ -5234,15 +5337,16 @@ while (*s != 0)
           case 3: goto EXPAND_FAILED;
           }
 
           case 3: goto EXPAND_FAILED;
           }
 
-      continue;
+      if (skipping) continue;
+      break;
       }
 
     /* Handle "readfile" to insert an entire file */
 
     case EITEM_READFILE:
       {
       }
 
     /* Handle "readfile" to insert an entire file */
 
     case EITEM_READFILE:
       {
-      FILE *f;
-      uschar *sub_arg[2];
+      FILE * f;
+      uschar * sub_arg[2];
 
       if ((expand_forbid & RDO_READFILE) != 0)
         {
 
       if ((expand_forbid & RDO_READFILE) != 0)
         {
@@ -5265,13 +5369,13 @@ while (*s != 0)
 
       if (!(f = Ufopen(sub_arg[0], "rb")))
         {
 
       if (!(f = Ufopen(sub_arg[0], "rb")))
         {
-        expand_string_message = string_open_failed(errno, "%s", sub_arg[0]);
+        expand_string_message = string_open_failed("%s", sub_arg[0]);
         goto EXPAND_FAILED;
         }
 
       yield = cat_file(f, yield, sub_arg[1]);
       (void)fclose(f);
         goto EXPAND_FAILED;
         }
 
       yield = cat_file(f, yield, sub_arg[1]);
       (void)fclose(f);
-      continue;
+      break;
       }
 
     /* Handle "readsocket" to insert data from a socket, either
       }
 
     /* Handle "readsocket" to insert data from a socket, either
@@ -5334,11 +5438,14 @@ while (*s != 0)
          while ((item = string_nextinlist(&list, &sep, NULL, 0)))
            g = string_append_listele(g, ',', item);
 
          while ((item = string_nextinlist(&list, &sep, NULL, 0)))
            g = string_append_listele(g, ',', item);
 
-         /* possibly plus an EOL string */
+         /* possibly plus an EOL string.  Process with escapes, to protect
+         from list-processing.  The only current user of eol= in search
+         options is the readsock expansion. */
+
          if (sub_arg[3] && *sub_arg[3])
            g = string_append_listele(g, ',',
          if (sub_arg[3] && *sub_arg[3])
            g = string_append_listele(g, ',',
-                 string_sprintf("eol=%s", sub_arg[3]));
-
+                 string_sprintf("eol=%s",
+                   string_printing2(sub_arg[3], SP_TAB|SP_SPACE)));
          }
 
        /* Gat a (possibly cached) handle for the connection */
          }
 
        /* Gat a (possibly cached) handle for the connection */
@@ -5374,38 +5481,39 @@ while (*s != 0)
       /* The whole thing has worked (or we were skipping). If there is a
       failure string following, we need to skip it. */
 
       /* The whole thing has worked (or we were skipping). If there is a
       failure string following, we need to skip it. */
 
-      if (*s == '{')
+      if (*s == '{')                                                   /*}*/
         {
         if (!expand_string_internal(s+1, TRUE, &s, TRUE, TRUE, &resetok))
         {
         if (!expand_string_internal(s+1, TRUE, &s, TRUE, TRUE, &resetok))
-          goto EXPAND_FAILED;
+          goto EXPAND_FAILED;                                          /*{*/
         if (*s++ != '}')
         if (*s++ != '}')
-         {
+         {                                                             /*{*/
          expand_string_message = US"missing '}' closing failstring for readsocket";
          goto EXPAND_FAILED_CURLY;
          }
         Uskip_whitespace(&s);
         }
 
          expand_string_message = US"missing '}' closing failstring for readsocket";
          goto EXPAND_FAILED_CURLY;
          }
         Uskip_whitespace(&s);
         }
 
-    READSOCK_DONE:
+    READSOCK_DONE:                                                     /*{*/
       if (*s++ != '}')
       if (*s++ != '}')
-        {
+        {                                                              /*{*/
        expand_string_message = US"missing '}' closing readsocket";
        goto EXPAND_FAILED_CURLY;
        }
        expand_string_message = US"missing '}' closing readsocket";
        goto EXPAND_FAILED_CURLY;
        }
-      continue;
+      if (skipping) continue;
+      break;
 
       /* Come here on failure to create socket, connect socket, write to the
       socket, or timeout on reading. If another substring follows, expand and
       use it. Otherwise, those conditions give expand errors. */
 
     SOCK_FAIL:
 
       /* Come here on failure to create socket, connect socket, write to the
       socket, or timeout on reading. If another substring follows, expand and
       use it. Otherwise, those conditions give expand errors. */
 
     SOCK_FAIL:
-      if (*s != '{') goto EXPAND_FAILED;
+      if (*s != '{') goto EXPAND_FAILED;                               /*}*/
       DEBUG(D_any) debug_printf("%s\n", expand_string_message);
       if (!(arg = expand_string_internal(s+1, TRUE, &s, FALSE, TRUE, &resetok)))
         goto EXPAND_FAILED;
       DEBUG(D_any) debug_printf("%s\n", expand_string_message);
       if (!(arg = expand_string_internal(s+1, TRUE, &s, FALSE, TRUE, &resetok)))
         goto EXPAND_FAILED;
-      yield = string_cat(yield, arg);
+      yield = string_cat(yield, arg);                                  /*{*/
       if (*s++ != '}')
       if (*s++ != '}')
-        {
+        {                                                              /*{*/
        expand_string_message = US"missing '}' closing failstring for readsocket";
        goto EXPAND_FAILED_CURLY;
        }
        expand_string_message = US"missing '}' closing failstring for readsocket";
        goto EXPAND_FAILED_CURLY;
        }
@@ -5417,11 +5525,9 @@ while (*s != 0)
 
     case EITEM_RUN:
       {
 
     case EITEM_RUN:
       {
-      FILE *f;
-      uschar *arg;
-      const uschar **argv;
-      pid_t pid;
-      int fd_in, fd_out;
+      FILE * f;
+      const uschar * arg, ** argv;
+      BOOL late_expand = TRUE;
 
       if ((expand_forbid & RDO_RUN) != 0)
         {
 
       if ((expand_forbid & RDO_RUN) != 0)
         {
@@ -5429,17 +5535,45 @@ while (*s != 0)
         goto EXPAND_FAILED;
         }
 
         goto EXPAND_FAILED;
         }
 
+      /* Handle options to the "run" */
+
+      while (*s == ',')
+       {
+       if (Ustrncmp(++s, "preexpand", 9) == 0)
+         { late_expand = FALSE; s += 9; }
+       else
+         {
+         const uschar * t = s;
+         while (isalpha(*++t)) ;
+         expand_string_message = string_sprintf("bad option '%.*s' for run",
+                                                 (int)(t-s), s);
+         goto EXPAND_FAILED;
+         }
+       }
       Uskip_whitespace(&s);
       Uskip_whitespace(&s);
-      if (*s != '{')
+
+      if (*s != '{')                                   /*}*/
         {
        expand_string_message = US"missing '{' for command arg of run";
         {
        expand_string_message = US"missing '{' for command arg of run";
-       goto EXPAND_FAILED_CURLY;
+       goto EXPAND_FAILED_CURLY;                       /*"}*/
        }
        }
-      if (!(arg = expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok)))
-       goto EXPAND_FAILED;
-      Uskip_whitespace(&s);
+      s++;
+
+      if (late_expand)         /* this is the default case */
+       {
+       int n = Ustrcspn(s, "}");
+       arg = skipping ? NULL : string_copyn(s, n);
+       s += n;
+       }
+      else
+       {
+       if (!(arg = expand_string_internal(s, TRUE, &s, skipping, TRUE, &resetok)))
+         goto EXPAND_FAILED;
+       Uskip_whitespace(&s);
+       }
+                                                       /*{*/
       if (*s++ != '}')
       if (*s++ != '}')
-        {
+        {                                              /*{*/
        expand_string_message = US"missing '}' closing command arg of run";
        goto EXPAND_FAILED_CURLY;
        }
        expand_string_message = US"missing '}' closing command arg of run";
        goto EXPAND_FAILED_CURLY;
        }
@@ -5451,13 +5585,17 @@ while (*s != 0)
        }
       else
         {
        }
       else
         {
+       int fd_in, fd_out;
+       pid_t pid;
+
         if (!transport_set_up_command(&argv,    /* anchor for arg list */
             arg,                                /* raw command */
         if (!transport_set_up_command(&argv,    /* anchor for arg list */
             arg,                                /* raw command */
-            FALSE,                              /* don't expand the arguments */
-            0,                                  /* not relevant when... */
-            NULL,                               /* no transporting address */
-            US"${run} expansion",               /* for error messages */
-            &expand_string_message))            /* where to put error message */
+           late_expand,                /* expand args if not already done */
+            0,                          /* not relevant when... */
+            NULL,                       /* no transporting address */
+           late_expand,                /* allow tainted args, when expand-after-split */
+            US"${run} expansion",       /* for error messages */
+            &expand_string_message))    /* where to put error message */
           goto EXPAND_FAILED;
 
         /* Create the child process, making it a group leader. */
           goto EXPAND_FAILED;
 
         /* Create the child process, making it a group leader. */
@@ -5468,7 +5606,7 @@ while (*s != 0)
           expand_string_message =
             string_sprintf("couldn't create child process: %s", strerror(errno));
           goto EXPAND_FAILED;
           expand_string_message =
             string_sprintf("couldn't create child process: %s", strerror(errno));
           goto EXPAND_FAILED;
-          }
+         }
 
         /* Nothing is written to the standard input. */
 
 
         /* Nothing is written to the standard input. */
 
@@ -5526,7 +5664,8 @@ while (*s != 0)
         case 2: goto EXPAND_FAILED_CURLY;    /* returned value is 0 */
         }
 
         case 2: goto EXPAND_FAILED_CURLY;    /* returned value is 0 */
         }
 
-      continue;
+      if (skipping) continue;
+      break;
       }
 
     /* Handle character translation for "tr" */
       }
 
     /* Handle character translation for "tr" */
@@ -5535,7 +5674,7 @@ while (*s != 0)
       {
       int oldptr = gstring_length(yield);
       int o2m;
       {
       int oldptr = gstring_length(yield);
       int o2m;
-      uschar *sub[3];
+      uschar * sub[3];
 
       switch(read_subs(sub, 3, 3, &s, skipping, TRUE, name, &resetok))
         {
 
       switch(read_subs(sub, 3, 3, &s, skipping, TRUE, name, &resetok))
         {
@@ -5557,7 +5696,8 @@ while (*s != 0)
           }
         }
 
           }
         }
 
-      continue;
+      if (skipping) continue;
+      break;
       }
 
     /* Handle "hash", "length", "nhash", and "substr" when they are given with
       }
 
     /* Handle "hash", "length", "nhash", and "substr" when they are given with
@@ -5571,7 +5711,7 @@ while (*s != 0)
       int len;
       uschar *ret;
       int val[2] = { 0, -1 };
       int len;
       uschar *ret;
       int val[2] = { 0, -1 };
-      uschar *sub[3];
+      uschar * sub[3];
 
       /* "length" takes only 2 arguments whereas the others take 2 or 3.
       Ensure that sub[2] is set in the ${length } case. */
 
       /* "length" takes only 2 arguments whereas the others take 2 or 3.
       Ensure that sub[2] is set in the ${length } case. */
@@ -5620,7 +5760,8 @@ while (*s != 0)
       if (!ret)
        goto EXPAND_FAILED;
       yield = string_catn(yield, ret, len);
       if (!ret)
        goto EXPAND_FAILED;
       yield = string_catn(yield, ret, len);
-      continue;
+      if (skipping) continue;
+      break;
       }
 
     /* Handle HMAC computation: ${hmac{<algorithm>}{<secret>}{<text>}}
       }
 
     /* Handle HMAC computation: ${hmac{<algorithm>}{<secret>}{<text>}}
@@ -5635,14 +5776,14 @@ while (*s != 0)
 
     case EITEM_HMAC:
       {
 
     case EITEM_HMAC:
       {
-      uschar *sub[3];
+      uschar * sub[3];
       md5 md5_base;
       hctx sha1_ctx;
       md5 md5_base;
       hctx sha1_ctx;
-      void *use_base;
+      void * use_base;
       int type;
       int hashlen;      /* Number of octets for the hash algorithm's output */
       int hashblocklen; /* Number of octets the hash algorithm processes */
       int type;
       int hashlen;      /* Number of octets for the hash algorithm's output */
       int hashblocklen; /* Number of octets the hash algorithm processes */
-      uschar *keyptr, *p;
+      uschar * keyptr, * p;
       unsigned int keylen;
 
       uschar keyhash[MAX_HASHLEN];
       unsigned int keylen;
 
       uschar keyhash[MAX_HASHLEN];
@@ -5659,79 +5800,78 @@ while (*s != 0)
         case 3: goto EXPAND_FAILED;
         }
 
         case 3: goto EXPAND_FAILED;
         }
 
-      if (!skipping)
+      if (skipping) continue;
+
+      if (Ustrcmp(sub[0], "md5") == 0)
        {
        {
-       if (Ustrcmp(sub[0], "md5") == 0)
-         {
-         type = HMAC_MD5;
-         use_base = &md5_base;
-         hashlen = 16;
-         hashblocklen = 64;
-         }
-       else if (Ustrcmp(sub[0], "sha1") == 0)
-         {
-         type = HMAC_SHA1;
-         use_base = &sha1_ctx;
-         hashlen = 20;
-         hashblocklen = 64;
-         }
-       else
-         {
-         expand_string_message =
-           string_sprintf("hmac algorithm \"%s\" is not recognised", sub[0]);
-         goto EXPAND_FAILED;
-         }
+       type = HMAC_MD5;
+       use_base = &md5_base;
+       hashlen = 16;
+       hashblocklen = 64;
+       }
+      else if (Ustrcmp(sub[0], "sha1") == 0)
+       {
+       type = HMAC_SHA1;
+       use_base = &sha1_ctx;
+       hashlen = 20;
+       hashblocklen = 64;
+       }
+      else
+       {
+       expand_string_message =
+         string_sprintf("hmac algorithm \"%s\" is not recognised", sub[0]);
+       goto EXPAND_FAILED;
+       }
 
 
-       keyptr = sub[1];
-       keylen = Ustrlen(keyptr);
+      keyptr = sub[1];
+      keylen = Ustrlen(keyptr);
 
 
-       /* If the key is longer than the hash block length, then hash the key
-       first */
+      /* If the key is longer than the hash block length, then hash the key
+      first */
 
 
-       if (keylen > hashblocklen)
-         {
-         chash_start(type, use_base);
-         chash_end(type, use_base, keyptr, keylen, keyhash);
-         keyptr = keyhash;
-         keylen = hashlen;
-         }
+      if (keylen > hashblocklen)
+       {
+       chash_start(type, use_base);
+       chash_end(type, use_base, keyptr, keylen, keyhash);
+       keyptr = keyhash;
+       keylen = hashlen;
+       }
 
 
-       /* Now make the inner and outer key values */
+      /* Now make the inner and outer key values */
 
 
-       memset(innerkey, 0x36, hashblocklen);
-       memset(outerkey, 0x5c, hashblocklen);
+      memset(innerkey, 0x36, hashblocklen);
+      memset(outerkey, 0x5c, hashblocklen);
 
 
-       for (int i = 0; i < keylen; i++)
-         {
-         innerkey[i] ^= keyptr[i];
-         outerkey[i] ^= keyptr[i];
-         }
+      for (int i = 0; i < keylen; i++)
+       {
+       innerkey[i] ^= keyptr[i];
+       outerkey[i] ^= keyptr[i];
+       }
 
 
-       /* Now do the hashes */
+      /* Now do the hashes */
 
 
-       chash_start(type, use_base);
-       chash_mid(type, use_base, innerkey);
-       chash_end(type, use_base, sub[2], Ustrlen(sub[2]), innerhash);
+      chash_start(type, use_base);
+      chash_mid(type, use_base, innerkey);
+      chash_end(type, use_base, sub[2], Ustrlen(sub[2]), innerhash);
 
 
-       chash_start(type, use_base);
-       chash_mid(type, use_base, outerkey);
-       chash_end(type, use_base, innerhash, hashlen, finalhash);
+      chash_start(type, use_base);
+      chash_mid(type, use_base, outerkey);
+      chash_end(type, use_base, innerhash, hashlen, finalhash);
 
 
-       /* Encode the final hash as a hex string */
+      /* Encode the final hash as a hex string */
 
 
-       p = finalhash_hex;
-       for (int i = 0; i < hashlen; i++)
-         {
-         *p++ = hex_digits[(finalhash[i] & 0xf0) >> 4];
-         *p++ = hex_digits[finalhash[i] & 0x0f];
-         }
+      p = finalhash_hex;
+      for (int i = 0; i < hashlen; i++)
+       {
+       *p++ = hex_digits[(finalhash[i] & 0xf0) >> 4];
+       *p++ = hex_digits[finalhash[i] & 0x0f];
+       }
 
 
-       DEBUG(D_any) debug_printf("HMAC[%s](%.*s,%s)=%.*s\n",
-         sub[0], (int)keylen, keyptr, sub[2], hashlen*2, finalhash_hex);
+      DEBUG(D_any) debug_printf("HMAC[%s](%.*s,%s)=%.*s\n",
+       sub[0], (int)keylen, keyptr, sub[2], hashlen*2, finalhash_hex);
 
 
-       yield = string_catn(yield, finalhash_hex, hashlen*2);
-       }
-      continue;
+      yield = string_catn(yield, finalhash_hex, hashlen*2);
+      break;
       }
 
     /* Handle global substitution for "sg" - like Perl's s/xxx/yyy/g operator.
       }
 
     /* Handle global substitution for "sg" - like Perl's s/xxx/yyy/g operator.
@@ -5739,13 +5879,12 @@ while (*s != 0)
 
     case EITEM_SG:
       {
 
     case EITEM_SG:
       {
-      const pcre *re;
+      const pcre2_code * re;
       int moffset, moffsetextra, slen;
       int moffset, moffsetextra, slen;
-      int roffset;
-      int emptyopt;
-      const uschar *rerror;
-      uschar *subject;
-      uschar *sub[3];
+      PCRE2_SIZE roffset;
+      pcre2_match_data * md;
+      int err, emptyopt;
+      uschar * subject, * sub[3];
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
 
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
 
@@ -5756,15 +5895,19 @@ while (*s != 0)
         case 3: goto EXPAND_FAILED;
         }
 
         case 3: goto EXPAND_FAILED;
         }
 
+      /*XXX no handling of skipping? */
       /* Compile the regular expression */
 
       /* Compile the regular expression */
 
-      if (!(re = pcre_compile(CS sub[1], PCRE_COPT, CCSS &rerror,
-                             &roffset, NULL)))
+      if (!(re = pcre2_compile((PCRE2_SPTR)sub[1], PCRE2_ZERO_TERMINATED,
+                 PCRE_COPT, &err, &roffset, pcre_cmp_ctx)))
         {
         {
+        uschar errbuf[128];
+       pcre2_get_error_message(err, errbuf, sizeof(errbuf));
         expand_string_message = string_sprintf("regular expression error in "
         expand_string_message = string_sprintf("regular expression error in "
-          "\"%s\": %s at offset %d", sub[1], rerror, roffset);
+          "\"%s\": %s at offset %ld", sub[1], errbuf, (long)roffset);
         goto EXPAND_FAILED;
         }
         goto EXPAND_FAILED;
         }
+      md = pcre2_match_data_create(EXPAND_MAXN + 1, pcre_gen_ctx);
 
       /* Now run a loop to do the substitutions as often as necessary. It ends
       when there are no more matches. Take care over matches of the null string;
 
       /* Now run a loop to do the substitutions as often as necessary. It ends
       when there are no more matches. Take care over matches of the null string;
@@ -5777,10 +5920,10 @@ while (*s != 0)
 
       for (;;)
         {
 
       for (;;)
         {
-        int ovector[3*(EXPAND_MAXN+1)];
-        int n = pcre_exec(re, NULL, CS subject, slen, moffset + moffsetextra,
-          PCRE_EOPT | emptyopt, ovector, nelem(ovector));
-        uschar *insert;
+       PCRE2_SIZE * ovec = pcre2_get_ovector_pointer(md);
+       int n = pcre2_match(re, (PCRE2_SPTR)subject, slen, moffset + moffsetextra,
+         PCRE_EOPT | emptyopt, md, pcre_mtc_ctx);
+        uschar * insert;
 
         /* No match - if we previously set PCRE_NOTEMPTY after a null match, this
         is not necessarily the end. We want to repeat the match from one
 
         /* No match - if we previously set PCRE_NOTEMPTY after a null match, this
         is not necessarily the end. We want to repeat the match from one
@@ -5802,24 +5945,26 @@ while (*s != 0)
           }
 
         /* Match - set up for expanding the replacement. */
           }
 
         /* Match - set up for expanding the replacement. */
+       DEBUG(D_expand) debug_printf_indent("%s: match\n", name);
 
         if (n == 0) n = EXPAND_MAXN + 1;
         expand_nmax = 0;
         for (int nn = 0; nn < n*2; nn += 2)
           {
 
         if (n == 0) n = EXPAND_MAXN + 1;
         expand_nmax = 0;
         for (int nn = 0; nn < n*2; nn += 2)
           {
-          expand_nstring[expand_nmax] = subject + ovector[nn];
-          expand_nlength[expand_nmax++] = ovector[nn+1] - ovector[nn];
+          expand_nstring[expand_nmax] = subject + ovec[nn];
+          expand_nlength[expand_nmax++] = ovec[nn+1] - ovec[nn];
           }
         expand_nmax--;
 
         /* Copy the characters before the match, plus the expanded insertion. */
 
           }
         expand_nmax--;
 
         /* Copy the characters before the match, plus the expanded insertion. */
 
-        yield = string_catn(yield, subject + moffset, ovector[0] - moffset);
+       yield = string_catn(yield, subject + moffset, ovec[0] - moffset);
+
         if (!(insert = expand_string(sub[2])))
          goto EXPAND_FAILED;
         yield = string_cat(yield, insert);
 
         if (!(insert = expand_string(sub[2])))
          goto EXPAND_FAILED;
         yield = string_cat(yield, insert);
 
-        moffset = ovector[1];
+        moffset = ovec[1];
         moffsetextra = 0;
         emptyopt = 0;
 
         moffsetextra = 0;
         emptyopt = 0;
 
@@ -5830,10 +5975,10 @@ while (*s != 0)
         string at the same point. If this fails (picked up above) we advance to
         the next character. */
 
         string at the same point. If this fails (picked up above) we advance to
         the next character. */
 
-        if (ovector[0] == ovector[1])
+        if (ovec[0] == ovec[1])
           {
           {
-          if (ovector[0] == slen) break;
-          emptyopt = PCRE_NOTEMPTY | PCRE_ANCHORED;
+          if (ovec[0] == slen) break;
+          emptyopt = PCRE2_NOTEMPTY | PCRE2_ANCHORED;
           }
         }
 
           }
         }
 
@@ -5841,7 +5986,8 @@ while (*s != 0)
 
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
 
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
-      continue;
+      if (skipping) continue;
+      break;
       }
 
     /* Handle keyed and numbered substring extraction. If the first argument
       }
 
     /* Handle keyed and numbered substring extraction. If the first argument
@@ -5851,8 +5997,7 @@ while (*s != 0)
       {
       int field_number = 1;
       BOOL field_number_set = FALSE;
       {
       int field_number = 1;
       BOOL field_number_set = FALSE;
-      uschar *save_lookup_value = lookup_value;
-      uschar *sub[3];
+      uschar * save_lookup_value = lookup_value, * sub[3];
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
 
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
 
@@ -5878,7 +6023,7 @@ while (*s != 0)
 
       if (skipping)
        {
 
       if (skipping)
        {
-        for (int j = 5; j > 0 && *s == '{'; j--)               /*'}'*/
+        for (int j = 5; j > 0 && *s == '{'; j--)                       /*'}'*/
          {
           if (!expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok))
            goto EXPAND_FAILED;                                 /*'{'*/
          {
           if (!expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok))
            goto EXPAND_FAILED;                                 /*'{'*/
@@ -5889,13 +6034,13 @@ while (*s != 0)
            }
          Uskip_whitespace(&s);
          }
            }
          Uskip_whitespace(&s);
          }
-       if (  Ustrncmp(s, "fail", 4) == 0                       /*'{'*/
+       if (  Ustrncmp(s, "fail", 4) == 0                               /*'{'*/
           && (s[4] == '}' || s[4] == ' ' || s[4] == '\t' || !s[4])
           )
          {
          s += 4;
          Uskip_whitespace(&s);
           && (s[4] == '}' || s[4] == ' ' || s[4] == '\t' || !s[4])
           )
          {
          s += 4;
          Uskip_whitespace(&s);
-         }                                                     /*'{'*/
+         }                                                             /*'{'*/
        if (*s != '}')
          {
          expand_string_message = US"missing '}' closing extract";
        if (*s != '}')
          {
          expand_string_message = US"missing '}' closing extract";
@@ -5905,10 +6050,10 @@ while (*s != 0)
 
       else for (int i = 0, j = 2; i < j; i++) /* Read the proper number of arguments */
         {
 
       else for (int i = 0, j = 2; i < j; i++) /* Read the proper number of arguments */
         {
-       if (Uskip_whitespace(&s) == '{')                                                /*'}'*/
+       if (Uskip_whitespace(&s) == '{')                                /*'}'*/
           {
           if (!(sub[i] = expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok)))
           {
           if (!(sub[i] = expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok)))
-           goto EXPAND_FAILED;                                 /*'{'*/
+           goto EXPAND_FAILED;                                         /*'{'*/
           if (*s++ != '}')
            {
            expand_string_message = string_sprintf(
           if (*s++ != '}')
            {
            expand_string_message = string_sprintf(
@@ -5925,7 +6070,7 @@ while (*s != 0)
             {
             int len;
             int x = 0;
             {
             int len;
             int x = 0;
-            uschar *p = sub[0];
+            uschar * p = sub[0];
 
             Uskip_whitespace(&p);
             sub[0] = p;
 
             Uskip_whitespace(&p);
             sub[0] = p;
@@ -5934,7 +6079,7 @@ while (*s != 0)
             while (len > 0 && isspace(p[len-1])) len--;
             p[len] = 0;
 
             while (len > 0 && isspace(p[len-1])) len--;
             p[len] = 0;
 
-           if (*p == 0)
+           if (!*p)
              {
              expand_string_message = US"first argument of \"extract\" must "
                "not be empty";
              {
              expand_string_message = US"first argument of \"extract\" must "
                "not be empty";
@@ -5946,8 +6091,8 @@ while (*s != 0)
              field_number = -1;
              p++;
              }
              field_number = -1;
              p++;
              }
-           while (*p != 0 && isdigit(*p)) x = x * 10 + *p++ - '0';
-           if (*p == 0)
+           while (*p && isdigit(*p)) x = x * 10 + *p++ - '0';
+           if (!*p)
              {
              field_number *= x;
              if (fmt == extract_basic) j = 3;               /* Need 3 args */
              {
              field_number *= x;
              if (fmt == extract_basic) j = 3;               /* Need 3 args */
@@ -6077,7 +6222,8 @@ while (*s != 0)
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
 
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
 
-      continue;
+      if (skipping) continue;
+      break;
       }
 
     /* return the Nth item from a list */
       }
 
     /* return the Nth item from a list */
@@ -6085,8 +6231,7 @@ while (*s != 0)
     case EITEM_LISTEXTRACT:
       {
       int field_number = 1;
     case EITEM_LISTEXTRACT:
       {
       int field_number = 1;
-      uschar *save_lookup_value = lookup_value;
-      uschar *sub[2];
+      uschar * save_lookup_value = lookup_value, * sub[2];
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
 
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
 
@@ -6094,15 +6239,15 @@ while (*s != 0)
 
       for (int i = 0; i < 2; i++)
         {
 
       for (int i = 0; i < 2; i++)
         {
-        if (Uskip_whitespace(&s) != '{')                                       /*'}'*/
+        if (Uskip_whitespace(&s) != '{')                               /*}*/
          {
          expand_string_message = string_sprintf(
          {
          expand_string_message = string_sprintf(
-           "missing '{' for arg %d of listextract", i+1);
+           "missing '{' for arg %d of listextract", i+1);              /*}*/
          goto EXPAND_FAILED_CURLY;
          }
 
        sub[i] = expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok);
          goto EXPAND_FAILED_CURLY;
          }
 
        sub[i] = expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok);
-       if (!sub[i])     goto EXPAND_FAILED;            /*{*/
+       if (!sub[i])     goto EXPAND_FAILED;                            /*{{*/
        if (*s++ != '}')
          {
          expand_string_message = string_sprintf(
        if (*s++ != '}')
          {
          expand_string_message = string_sprintf(
@@ -6175,7 +6320,8 @@ while (*s != 0)
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
 
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
 
-      continue;
+      if (skipping) continue;
+      break;
       }
 
     case EITEM_LISTQUOTE:
       }
 
     case EITEM_LISTQUOTE:
@@ -6193,14 +6339,14 @@ while (*s != 0)
        yield = string_catn(yield, sub[1], 1);
        }
       else yield = string_catn(yield, US" ", 1);
        yield = string_catn(yield, sub[1], 1);
        }
       else yield = string_catn(yield, US" ", 1);
-      continue;
+      if (skipping) continue;
+      break;
       }
 
 #ifndef DISABLE_TLS
     case EITEM_CERTEXTRACT:
       {
       }
 
 #ifndef DISABLE_TLS
     case EITEM_CERTEXTRACT:
       {
-      uschar *save_lookup_value = lookup_value;
-      uschar *sub[2];
+      uschar * save_lookup_value = lookup_value, * sub[2];
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
 
       int save_expand_nmax =
         save_expand_strings(save_expand_nstring, save_expand_nlength);
 
@@ -6208,10 +6354,10 @@ while (*s != 0)
       if (Uskip_whitespace(&s) != '{')                                 /*}*/
        {
        expand_string_message = US"missing '{' for field arg of certextract";
       if (Uskip_whitespace(&s) != '{')                                 /*}*/
        {
        expand_string_message = US"missing '{' for field arg of certextract";
-       goto EXPAND_FAILED_CURLY;
+       goto EXPAND_FAILED_CURLY;                                       /*}*/
        }
       sub[0] = expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok);
        }
       sub[0] = expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok);
-      if (!sub[0])     goto EXPAND_FAILED;             /*{*/
+      if (!sub[0])     goto EXPAND_FAILED;                             /*{{*/
       if (*s++ != '}')
         {
        expand_string_message = US"missing '}' closing field arg of certextract";
       if (*s++ != '}')
         {
        expand_string_message = US"missing '}' closing field arg of certextract";
@@ -6234,7 +6380,7 @@ while (*s != 0)
       if (Uskip_whitespace(&s) != '{')                                 /*}*/
        {
        expand_string_message = US"missing '{' for cert variable arg of certextract";
       if (Uskip_whitespace(&s) != '{')                                 /*}*/
        {
        expand_string_message = US"missing '{' for cert variable arg of certextract";
-       goto EXPAND_FAILED_CURLY;
+       goto EXPAND_FAILED_CURLY;                                       /*}*/
        }
       if (*++s != '$')
         {
        }
       if (*++s != '$')
         {
@@ -6243,7 +6389,7 @@ while (*s != 0)
        goto EXPAND_FAILED;
        }
       sub[1] = expand_string_internal(s+1, TRUE, &s, skipping, FALSE, &resetok);
        goto EXPAND_FAILED;
        }
       sub[1] = expand_string_internal(s+1, TRUE, &s, skipping, FALSE, &resetok);
-      if (!sub[1])     goto EXPAND_FAILED;             /*{*/
+      if (!sub[1])     goto EXPAND_FAILED;                             /*{{*/
       if (*s++ != '}')
         {
        expand_string_message = US"missing '}' closing cert variable arg of certextract";
       if (*s++ != '}')
         {
        expand_string_message = US"missing '}' closing cert variable arg of certextract";
@@ -6272,7 +6418,8 @@ while (*s != 0)
 
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
 
       restore_expand_strings(save_expand_nmax, save_expand_nstring,
         save_expand_nlength);
-      continue;
+      if (skipping) continue;
+      break;
       }
 #endif /*DISABLE_TLS*/
 
       }
 #endif /*DISABLE_TLS*/
 
@@ -6282,23 +6429,22 @@ while (*s != 0)
     case EITEM_MAP:
     case EITEM_REDUCE:
       {
     case EITEM_MAP:
     case EITEM_REDUCE:
       {
-      int sep = 0;
-      int save_ptr = gstring_length(yield);
+      int sep = 0, save_ptr = gstring_length(yield);
       uschar outsep[2] = { '\0', '\0' };
       const uschar *list, *expr, *temp;
       uschar outsep[2] = { '\0', '\0' };
       const uschar *list, *expr, *temp;
-      uschar *save_iterate_item = iterate_item;
-      uschar *save_lookup_value = lookup_value;
+      uschar * save_iterate_item = iterate_item;
+      uschar * save_lookup_value = lookup_value;
 
       Uskip_whitespace(&s);
 
       Uskip_whitespace(&s);
-      if (*s++ != '{')
+      if (*s++ != '{')                                                 /*}*/
         {
        expand_string_message =
          string_sprintf("missing '{' for first arg of %s", name);
         {
        expand_string_message =
          string_sprintf("missing '{' for first arg of %s", name);
-       goto EXPAND_FAILED_CURLY;
+       goto EXPAND_FAILED_CURLY;                                       /*}*/
        }
 
       if (!(list = expand_string_internal(s, TRUE, &s, skipping, TRUE, &resetok)))
        }
 
       if (!(list = expand_string_internal(s, TRUE, &s, skipping, TRUE, &resetok)))
-       goto EXPAND_FAILED;
+       goto EXPAND_FAILED;                                             /*{{*/
       if (*s++ != '}')
         {
        expand_string_message =
       if (*s++ != '}')
         {
        expand_string_message =
@@ -6310,14 +6456,14 @@ while (*s != 0)
         {
        uschar * t;
         Uskip_whitespace(&s);
         {
        uschar * t;
         Uskip_whitespace(&s);
-        if (*s++ != '{')
+        if (*s++ != '{')                                               /*}*/
          {
          expand_string_message = US"missing '{' for second arg of reduce";
          {
          expand_string_message = US"missing '{' for second arg of reduce";
-         goto EXPAND_FAILED_CURLY;
+         goto EXPAND_FAILED_CURLY;                                     /*}*/
          }
         t = expand_string_internal(s, TRUE, &s, skipping, TRUE, &resetok);
         if (!t) goto EXPAND_FAILED;
          }
         t = expand_string_internal(s, TRUE, &s, skipping, TRUE, &resetok);
         if (!t) goto EXPAND_FAILED;
-        lookup_value = t;
+        lookup_value = t;                                              /*{{*/
         if (*s++ != '}')
          {
          expand_string_message = US"missing '}' closing second arg of reduce";
         if (*s++ != '}')
          {
          expand_string_message = US"missing '}' closing second arg of reduce";
@@ -6326,10 +6472,10 @@ while (*s != 0)
         }
 
       Uskip_whitespace(&s);
         }
 
       Uskip_whitespace(&s);
-      if (*s++ != '{')
+      if (*s++ != '{')                                                 /*}*/
         {
        expand_string_message =
         {
        expand_string_message =
-         string_sprintf("missing '{' for last arg of %s", name);
+         string_sprintf("missing '{' for last arg of %s", name);       /*}*/
        goto EXPAND_FAILED_CURLY;
        }
 
        goto EXPAND_FAILED_CURLY;
        }
 
@@ -6341,13 +6487,10 @@ while (*s != 0)
       condition for real. For EITEM_MAP and EITEM_REDUCE, do the same, using
       the normal internal expansion function. */
 
       condition for real. For EITEM_MAP and EITEM_REDUCE, do the same, using
       the normal internal expansion function. */
 
-      if (item_type == EITEM_FILTER)
-        {
-        if ((temp = eval_condition(expr, &resetok, NULL)))
-         s = temp;
-        }
-      else
+      if (item_type != EITEM_FILTER)
         temp = expand_string_internal(s, TRUE, &s, TRUE, TRUE, &resetok);
         temp = expand_string_internal(s, TRUE, &s, TRUE, TRUE, &resetok);
+      else
+        if ((temp = eval_condition(expr, &resetok, NULL))) s = temp;
 
       if (!temp)
         {
 
       if (!temp)
         {
@@ -6356,18 +6499,18 @@ while (*s != 0)
         goto EXPAND_FAILED;
         }
 
         goto EXPAND_FAILED;
         }
 
-      Uskip_whitespace(&s);
+      Uskip_whitespace(&s);                                            /*{{{*/
       if (*s++ != '}')
       if (*s++ != '}')
-        {                                              /*{*/
+        {
         expand_string_message = string_sprintf("missing } at end of condition "
           "or expression inside \"%s\"; could be an unquoted } in the content",
          name);
         goto EXPAND_FAILED;
         }
 
         expand_string_message = string_sprintf("missing } at end of condition "
           "or expression inside \"%s\"; could be an unquoted } in the content",
          name);
         goto EXPAND_FAILED;
         }
 
-      Uskip_whitespace(&s);                            /*{*/
+      Uskip_whitespace(&s);                                            /*{{*/
       if (*s++ != '}')
       if (*s++ != '}')
-        {                                              /*{*/
+        {
         expand_string_message = string_sprintf("missing } at end of \"%s\"",
           name);
         goto EXPAND_FAILED;
         expand_string_message = string_sprintf("missing } at end of \"%s\"",
           name);
         goto EXPAND_FAILED;
@@ -6430,6 +6573,9 @@ while (*s != 0)
         item of the output list, add in a space if the new item begins with the
         separator character, or is an empty string. */
 
         item of the output list, add in a space if the new item begins with the
         separator character, or is an empty string. */
 
+/*XXX is there not a standard support function for this, appending to a list? */
+/* yes, string_append_listele(), but it depends on lack of text before the list */
+
         if (  yield && yield->ptr != save_ptr
           && (temp[0] == *outsep || temp[0] == 0))
           yield = string_catn(yield, US" ", 1);
         if (  yield && yield->ptr != save_ptr
           && (temp[0] == *outsep || temp[0] == 0))
           yield = string_catn(yield, US" ", 1);
@@ -6447,7 +6593,7 @@ while (*s != 0)
           too many; backup and end the loop. Otherwise arrange to double the
           separator. */
 
           too many; backup and end the loop. Otherwise arrange to double the
           separator. */
 
-          if (temp[seglen] == '\0') { yield->ptr--; break; }
+          if (!temp[seglen]) { yield->ptr--; break; }
           yield = string_catn(yield, outsep, 1);
           temp += seglen + 1;
           }
           yield = string_catn(yield, outsep, 1);
           temp += seglen + 1;
           }
@@ -6476,28 +6622,27 @@ while (*s != 0)
       /* Restore preserved $item */
 
       iterate_item = save_iterate_item;
       /* Restore preserved $item */
 
       iterate_item = save_iterate_item;
-      continue;
+      if (skipping) continue;
+      break;
       }
 
     case EITEM_SORT:
       {
       }
 
     case EITEM_SORT:
       {
-      int cond_type;
-      int sep = 0;
-      const uschar *srclist, *cmp, *xtract;
+      int sep = 0, cond_type;
+      const uschar * srclist, * cmp, * xtract;
       uschar * opname, * srcitem;
       uschar * opname, * srcitem;
-      const uschar *dstlist = NULL, *dstkeylist = NULL;
-      uschar * tmp;
-      uschar *save_iterate_item = iterate_item;
+      const uschar * dstlist = NULL, * dstkeylist = NULL;
+      uschar * tmp, * save_iterate_item = iterate_item;
 
       Uskip_whitespace(&s);
 
       Uskip_whitespace(&s);
-      if (*s++ != '{')
+      if (*s++ != '{')                                                 /*}*/
         {
         expand_string_message = US"missing '{' for list arg of sort";
         {
         expand_string_message = US"missing '{' for list arg of sort";
-       goto EXPAND_FAILED_CURLY;
+       goto EXPAND_FAILED_CURLY;                                       /*}*/
        }
 
       srclist = expand_string_internal(s, TRUE, &s, skipping, TRUE, &resetok);
        }
 
       srclist = expand_string_internal(s, TRUE, &s, skipping, TRUE, &resetok);
-      if (!srclist) goto EXPAND_FAILED;
+      if (!srclist) goto EXPAND_FAILED;                                        /*{{*/
       if (*s++ != '}')
         {
         expand_string_message = US"missing '}' closing list arg of sort";
       if (*s++ != '}')
         {
         expand_string_message = US"missing '}' closing list arg of sort";
@@ -6505,14 +6650,14 @@ while (*s != 0)
        }
 
       Uskip_whitespace(&s);
        }
 
       Uskip_whitespace(&s);
-      if (*s++ != '{')
+      if (*s++ != '{')                                                 /*}*/
         {
         expand_string_message = US"missing '{' for comparator arg of sort";
         {
         expand_string_message = US"missing '{' for comparator arg of sort";
-       goto EXPAND_FAILED_CURLY;
+       goto EXPAND_FAILED_CURLY;                                       /*}*/
        }
 
       cmp = expand_string_internal(s, TRUE, &s, skipping, FALSE, &resetok);
        }
 
       cmp = expand_string_internal(s, TRUE, &s, skipping, FALSE, &resetok);
-      if (!cmp) goto EXPAND_FAILED;
+      if (!cmp) goto EXPAND_FAILED;                                    /*{{*/
       if (*s++ != '}')
         {
         expand_string_message = US"missing '}' closing comparator arg of sort";
       if (*s++ != '}')
         {
         expand_string_message = US"missing '}' closing comparator arg of sort";
@@ -6539,25 +6684,25 @@ while (*s != 0)
        }
 
       Uskip_whitespace(&s);
        }
 
       Uskip_whitespace(&s);
-      if (*s++ != '{')
+      if (*s++ != '{')                                                 /*}*/
         {
         expand_string_message = US"missing '{' for extractor arg of sort";
         {
         expand_string_message = US"missing '{' for extractor arg of sort";
-       goto EXPAND_FAILED_CURLY;
+       goto EXPAND_FAILED_CURLY;                                       /*}*/
        }
 
       xtract = s;
       if (!(tmp = expand_string_internal(s, TRUE, &s, TRUE, TRUE, &resetok)))
        goto EXPAND_FAILED;
       xtract = string_copyn(xtract, s - xtract);
        }
 
       xtract = s;
       if (!(tmp = expand_string_internal(s, TRUE, &s, TRUE, TRUE, &resetok)))
        goto EXPAND_FAILED;
       xtract = string_copyn(xtract, s - xtract);
-
+                                                                       /*{{*/
       if (*s++ != '}')
         {
         expand_string_message = US"missing '}' closing extractor arg of sort";
        goto EXPAND_FAILED_CURLY;
        }
       if (*s++ != '}')
         {
         expand_string_message = US"missing '}' closing extractor arg of sort";
        goto EXPAND_FAILED_CURLY;
        }
-                                                       /*{*/
+                                                                       /*{{*/
       if (*s++ != '}')
       if (*s++ != '}')
-        {                                              /*{*/
+        {
         expand_string_message = US"missing } at end of \"sort\"";
         goto EXPAND_FAILED;
         }
         expand_string_message = US"missing } at end of \"sort\"";
         goto EXPAND_FAILED;
         }
@@ -6567,8 +6712,7 @@ while (*s != 0)
       while ((srcitem = string_nextinlist(&srclist, &sep, NULL, 0)))
        {
        uschar * srcfield, * dstitem;
       while ((srcitem = string_nextinlist(&srclist, &sep, NULL, 0)))
        {
        uschar * srcfield, * dstitem;
-       gstring * newlist = NULL;
-       gstring * newkeylist = NULL;
+       gstring * newlist = NULL, * newkeylist = NULL;
 
         DEBUG(D_expand) debug_printf_indent("%s: $item = \"%s\"\n", name, srcitem);
 
 
         DEBUG(D_expand) debug_printf_indent("%s: $item = \"%s\"\n", name, srcitem);
 
@@ -6592,7 +6736,7 @@ while (*s != 0)
 
          /* field for comparison */
          if (!(dstfield = string_nextinlist(&dstkeylist, &sep, NULL, 0)))
 
          /* field for comparison */
          if (!(dstfield = string_nextinlist(&dstkeylist, &sep, NULL, 0)))
-           goto sort_mismatch;
+           goto SORT_MISMATCH;
 
          /* String-comparator names start with a letter; numeric names do not */
 
 
          /* String-comparator names start with a letter; numeric names do not */
 
@@ -6613,7 +6757,7 @@ while (*s != 0)
            while ((dstitem = string_nextinlist(&dstlist, &sep, NULL, 0)))
              {
              if (!(dstfield = string_nextinlist(&dstkeylist, &sep, NULL, 0)))
            while ((dstitem = string_nextinlist(&dstlist, &sep, NULL, 0)))
              {
              if (!(dstfield = string_nextinlist(&dstkeylist, &sep, NULL, 0)))
-               goto sort_mismatch;
+               goto SORT_MISMATCH;
              newlist = string_append_listele(newlist, sep, dstitem);
              newkeylist = string_append_listele(newkeylist, sep, dstfield);
              }
              newlist = string_append_listele(newlist, sep, dstitem);
              newkeylist = string_append_listele(newkeylist, sep, dstfield);
              }
@@ -6644,9 +6788,9 @@ while (*s != 0)
 
       /* Restore preserved $item */
       iterate_item = save_iterate_item;
 
       /* Restore preserved $item */
       iterate_item = save_iterate_item;
-      continue;
+      break;
 
 
-      sort_mismatch:
+      SORT_MISMATCH:
        expand_string_message = US"Internal error in sort (list mismatch)";
        goto EXPAND_FAILED;
       }
        expand_string_message = US"Internal error in sort (list mismatch)";
        goto EXPAND_FAILED;
       }
@@ -6667,13 +6811,13 @@ while (*s != 0)
 
 #else   /* EXPAND_DLFUNC */
       {
 
 #else   /* EXPAND_DLFUNC */
       {
-      tree_node *t;
-      exim_dlfunc_t *func;
-      uschar *result;
+      tree_node * t;
+      exim_dlfunc_t * func;
+      uschar * result;
       int status, argc;
       int status, argc;
-      uschar *argv[EXPAND_DLFUNC_MAX_ARGS + 3];
+      uschar * argv[EXPAND_DLFUNC_MAX_ARGS + 3];
 
 
-      if ((expand_forbid & RDO_DLFUNC) != 0)
+      if (expand_forbid & RDO_DLFUNC)
         {
         expand_string_message =
           US"dynamically-loaded functions are not permitted";
         {
         expand_string_message =
           US"dynamically-loaded functions are not permitted";
@@ -6697,7 +6841,7 @@ while (*s != 0)
 
       if (!(t = tree_search(dlobj_anchor, argv[0])))
         {
 
       if (!(t = tree_search(dlobj_anchor, argv[0])))
         {
-        void *handle = dlopen(CS argv[0], RTLD_LAZY);
+        void * handle = dlopen(CS argv[0], RTLD_LAZY);
         if (!handle)
           {
           expand_string_message = string_sprintf("dlopen \"%s\" failed: %s",
         if (!handle)
           {
           expand_string_message = string_sprintf("dlopen \"%s\" failed: %s",
@@ -6705,7 +6849,7 @@ while (*s != 0)
           log_write(0, LOG_MAIN|LOG_PANIC, "%s", expand_string_message);
           goto EXPAND_FAILED;
           }
           log_write(0, LOG_MAIN|LOG_PANIC, "%s", expand_string_message);
           goto EXPAND_FAILED;
           }
-        t = store_get_perm(sizeof(tree_node) + Ustrlen(argv[0]), is_tainted(argv[0]));
+        t = store_get_perm(sizeof(tree_node) + Ustrlen(argv[0]), argv[0]);
         Ustrcpy(t->name, argv[0]);
         t->data.ptr = handle;
         (void)tree_insertnode(&dlobj_anchor, t);
         Ustrcpy(t->name, argv[0]);
         t->data.ptr = handle;
         (void)tree_insertnode(&dlobj_anchor, t);
@@ -6731,15 +6875,9 @@ while (*s != 0)
 
       resetok = FALSE;
       result = NULL;
 
       resetok = FALSE;
       result = NULL;
-      for (argc = 0; argv[argc]; argc++);
-      status = func(&result, argc - 2, &argv[2]);
-      if(status == OK)
-        {
-        if (!result) result = US"";
-        yield = string_cat(yield, result);
-        continue;
-        }
-      else
+      for (argc = 0; argv[argc]; argc++) ;
+
+      if ((status = func(&result, argc - 2, &argv[2])) != OK)
         {
         expand_string_message = result ? result : US"(no message)";
         if (status == FAIL_FORCED)
         {
         expand_string_message = result ? result : US"(no message)";
         if (status == FAIL_FORCED)
@@ -6749,6 +6887,9 @@ while (*s != 0)
               argv[0], argv[1], status, expand_string_message);
         goto EXPAND_FAILED;
         }
               argv[0], argv[1], status, expand_string_message);
         goto EXPAND_FAILED;
         }
+
+      if (result) yield = string_cat(yield, result);
+      break;
       }
 #endif /* EXPAND_DLFUNC */
 
       }
 #endif /* EXPAND_DLFUNC */
 
@@ -6761,10 +6902,10 @@ while (*s != 0)
        goto EXPAND_FAILED;
 
       key = expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok);
        goto EXPAND_FAILED;
 
       key = expand_string_internal(s+1, TRUE, &s, skipping, TRUE, &resetok);
-      if (!key) goto EXPAND_FAILED;                    /*{*/
+      if (!key) goto EXPAND_FAILED;                                    /*{{*/
       if (*s++ != '}')
         {
       if (*s++ != '}')
         {
-        expand_string_message = US"missing '{' for name arg of env";
+        expand_string_message = US"missing '}' for name arg of env";
        goto EXPAND_FAILED_CURLY;
        }
 
        goto EXPAND_FAILED_CURLY;
        }
 
@@ -6782,7 +6923,8 @@ while (*s != 0)
         case 1: goto EXPAND_FAILED;          /* when all is well, the */
         case 2: goto EXPAND_FAILED_CURLY;    /* returned value is 0 */
         }
         case 1: goto EXPAND_FAILED;          /* when all is well, the */
         case 2: goto EXPAND_FAILED_CURLY;    /* returned value is 0 */
         }
-      continue;
+      if (skipping) continue;
+      break;
       }
 
 #ifdef SUPPORT_SRS
       }
 
 #ifdef SUPPORT_SRS
@@ -6791,6 +6933,8 @@ while (*s != 0)
       {
       uschar * sub[3];
       uschar cksum[4];
       {
       uschar * sub[3];
       uschar cksum[4];
+      gstring * g = NULL;
+      BOOL quoted = FALSE;
 
       switch (read_subs(sub, 3, 3, CUSS &s, skipping, TRUE, name, &resetok))
         {
 
       switch (read_subs(sub, 3, 3, CUSS &s, skipping, TRUE, name, &resetok))
         {
@@ -6798,49 +6942,93 @@ while (*s != 0)
         case 2:
         case 3: goto EXPAND_FAILED;
         }
         case 2:
         case 3: goto EXPAND_FAILED;
         }
+      if (skipping) continue;
 
 
-      yield = string_catn(yield, US"SRS0=", 5);
+      if (sub[1] && *(sub[1]))
+       {
+       g = string_catn(g, US"SRS0=", 5);
 
 
-      /* ${l_4:${hmac{md5}{SRS_SECRET}{${lc:$return_path}}}}= */
-      hmac_md5(sub[0], string_copylc(sub[1]), cksum, sizeof(cksum));
-      yield = string_catn(yield, cksum, sizeof(cksum));
-      yield = string_catn(yield, US"=", 1);
+       /* ${l_4:${hmac{md5}{SRS_SECRET}{${lc:$return_path}}}}= */
+       hmac_md5(sub[0], string_copylc(sub[1]), cksum, sizeof(cksum));
+       g = string_catn(g, cksum, sizeof(cksum));
+       g = string_catn(g, US"=", 1);
 
 
-      /* ${base32:${eval:$tod_epoch/86400&0x3ff}}= */
-       {
-       struct timeval now;
-       unsigned long i;
-       gstring * g = NULL;
+       /* ${base32:${eval:$tod_epoch/86400&0x3ff}}= */
+         {
+         struct timeval now;
+         unsigned long i;
+         gstring * h = NULL;
+
+         gettimeofday(&now, NULL);
+         for (unsigned long i = (now.tv_sec / 86400) & 0x3ff; i; i >>= 5)
+           h = string_catn(h, &base32_chars[i & 0x1f], 1);
+         if (h) while (h->ptr > 0)
+           g = string_catn(g, &h->s[--h->ptr], 1);
+         }
+       g = string_catn(g, US"=", 1);
 
 
-       gettimeofday(&now, NULL);
-       for (unsigned long i = (now.tv_sec / 86400) & 0x3ff; i; i >>= 5)
-         g = string_catn(g, &base32_chars[i & 0x1f], 1);
-       if (g) while (g->ptr > 0)
-         yield = string_catn(yield, &g->s[--g->ptr], 1);
-       }
-      yield = string_catn(yield, US"=", 1);
+       /* ${domain:$return_path}=${local_part:$return_path} */
+         {
+         int start, end, domain;
+         uschar * t = parse_extract_address(sub[1], &expand_string_message,
+                                           &start, &end, &domain, FALSE);
+         uschar * s;
 
 
-      /* ${domain:$return_path}=${local_part:$return_path} */
-       {
-        int start, end, domain;
-        uschar * t = parse_extract_address(sub[1], &expand_string_message,
-                                         &start, &end, &domain, FALSE);
-        if (!t)
-         goto EXPAND_FAILED;
+         if (!t)
+           goto EXPAND_FAILED;
 
 
-       if (domain > 0) yield = string_cat(yield, t + domain);
-       yield = string_catn(yield, US"=", 1);
-       yield = domain > 0
-         ? string_catn(yield, t, domain - 1) : string_cat(yield, t);
-        }
+         if (domain > 0) g = string_cat(g, t + domain);
+         g = string_catn(g, US"=", 1);
 
 
-      /* @$original_domain */
-      yield = string_catn(yield, US"@", 1);
-      yield = string_cat(yield, sub[2]);
-      continue;
+         s = domain > 0 ? string_copyn(t, domain - 1) : t;
+         if ((quoted = Ustrchr(s, '"') != NULL))
+           {
+           gstring * h = NULL;
+           DEBUG(D_expand) debug_printf_indent("auto-quoting local part\n");
+           while (*s)          /* de-quote */
+             {
+             while (*s && *s != '"') h = string_catn(h, s++, 1);
+             if (*s) s++;
+             while (*s && *s != '"') h = string_catn(h, s++, 1);
+             if (*s) s++;
+             }
+           gstring_release_unused(h);
+           s = string_from_gstring(h);
+           }
+         g = string_cat(g, s);
+         }
+
+       /* Assume that if the original local_part had quotes
+       it was for good reason */
+
+       if (quoted) yield = string_catn(yield, US"\"", 1);
+       yield = string_catn(yield, g->s, g->ptr);
+       if (quoted) yield = string_catn(yield, US"\"", 1);
+
+       /* @$original_domain */
+       yield = string_catn(yield, US"@", 1);
+       yield = string_cat(yield, sub[2]);
+       }
+      else
+       DEBUG(D_expand) debug_printf_indent("null return_path for srs-encode\n");
+
+      break;
       }
 #endif /*SUPPORT_SRS*/
       }
 #endif /*SUPPORT_SRS*/
+
+    default:
+      goto NOT_ITEM;
     }  /* EITEM_* switch */
     }  /* EITEM_* switch */
+    /*NOTREACHED*/
+
+  DEBUG(D_expand)
+    if (yield && (start > 0 || *s))    /* only if not the sole expansion of the line */
+      debug_expansion_interim(US"item-res",
+                             yield->s + start, yield->ptr - start, skipping);
+  continue;
+
+NOT_ITEM: ;
+  }
 
   /* Control reaches here if the name is not recognized as one of the more
   complicated expansion items. Check for the "operator" syntax (name terminated
 
   /* Control reaches here if the name is not recognized as one of the more
   complicated expansion items. Check for the "operator" syntax (name terminated
@@ -6850,10 +7038,9 @@ while (*s != 0)
   if (*s == ':')
     {
     int c;
   if (*s == ':')
     {
     int c;
-    uschar *arg = NULL;
-    uschar *sub;
+    uschar * arg = NULL, * sub;
 #ifndef DISABLE_TLS
 #ifndef DISABLE_TLS
-    var_entry *vp = NULL;
+    var_entry * vp = NULL;
 #endif
 
     /* Owing to an historical mis-design, an underscore may be part of the
 #endif
 
     /* Owing to an historical mis-design, an underscore may be part of the
@@ -6887,7 +7074,7 @@ while (*s != 0)
                  FALSE, &resetok);
          if (!sub)       goto EXPAND_FAILED;           /*{*/
          if (*s1 != '}')
                  FALSE, &resetok);
          if (!sub)       goto EXPAND_FAILED;           /*{*/
          if (*s1 != '}')
-           {
+           {                                           /*{*/
            expand_string_message =
              string_sprintf("missing '}' closing cert arg of %s", name);
            goto EXPAND_FAILED_CURLY;
            expand_string_message =
              string_sprintf("missing '}' closing cert arg of %s", name);
            goto EXPAND_FAILED_CURLY;
@@ -6916,129 +7103,118 @@ while (*s != 0)
 
     if (skipping && c >= 0) continue;
 
 
     if (skipping && c >= 0) continue;
 
-    /* Otherwise, switch on the operator type */
+    /* Otherwise, switch on the operator type.  After handling go back
+    to the main loop top. */
 
 
-    switch(c)
+     {
+     int start = yield->ptr;
+     switch(c)
       {
       case EOP_BASE32:
        {
       {
       case EOP_BASE32:
        {
-        uschar *t;
-        unsigned long int n = Ustrtoul(sub, &t, 10);
+       uschar *t;
+       unsigned long int n = Ustrtoul(sub, &t, 10);
        gstring * g = NULL;
 
        gstring * g = NULL;
 
-        if (*t != 0)
-          {
-          expand_string_message = string_sprintf("argument for base32 "
-            "operator is \"%s\", which is not a decimal number", sub);
-          goto EXPAND_FAILED;
-          }
+       if (*t != 0)
+         {
+         expand_string_message = string_sprintf("argument for base32 "
+           "operator is \"%s\", which is not a decimal number", sub);
+         goto EXPAND_FAILED;
+         }
        for ( ; n; n >>= 5)
          g = string_catn(g, &base32_chars[n & 0x1f], 1);
 
        if (g) while (g->ptr > 0) yield = string_catn(yield, &g->s[--g->ptr], 1);
        for ( ; n; n >>= 5)
          g = string_catn(g, &base32_chars[n & 0x1f], 1);
 
        if (g) while (g->ptr > 0) yield = string_catn(yield, &g->s[--g->ptr], 1);
-       continue;
+       break;
        }
 
       case EOP_BASE32D:
        }
 
       case EOP_BASE32D:
-        {
-        uschar *tt = sub;
-        unsigned long int n = 0;
-        while (*tt)
-          {
-          uschar * t = Ustrchr(base32_chars, *tt++);
-          if (!t)
-            {
-            expand_string_message = string_sprintf("argument for base32d "
-              "operator is \"%s\", which is not a base 32 number", sub);
-            goto EXPAND_FAILED;
-            }
-          n = n * 32 + (t - base32_chars);
-          }
-        yield = string_fmt_append(yield, "%ld", n);
-        continue;
-        }
+       {
+       uschar *tt = sub;
+       unsigned long int n = 0;
+       while (*tt)
+         {
+         uschar * t = Ustrchr(base32_chars, *tt++);
+         if (!t)
+           {
+           expand_string_message = string_sprintf("argument for base32d "
+             "operator is \"%s\", which is not a base 32 number", sub);
+           goto EXPAND_FAILED;
+           }
+         n = n * 32 + (t - base32_chars);
+         }
+       yield = string_fmt_append(yield, "%ld", n);
+       break;
+       }
 
       case EOP_BASE62:
 
       case EOP_BASE62:
-        {
-        uschar *t;
-        unsigned long int n = Ustrtoul(sub, &t, 10);
-        if (*t != 0)
-          {
-          expand_string_message = string_sprintf("argument for base62 "
-            "operator is \"%s\", which is not a decimal number", sub);
-          goto EXPAND_FAILED;
-          }
-        yield = string_cat(yield, string_base62(n));
-        continue;
-        }
+       {
+       uschar *t;
+       unsigned long int n = Ustrtoul(sub, &t, 10);
+       if (*t != 0)
+         {
+         expand_string_message = string_sprintf("argument for base62 "
+           "operator is \"%s\", which is not a decimal number", sub);
+         goto EXPAND_FAILED;
+         }
+       yield = string_cat(yield, string_base62(n));
+       break;
+       }
 
       /* Note that for Darwin and Cygwin, BASE_62 actually has the value 36 */
 
       case EOP_BASE62D:
 
       /* Note that for Darwin and Cygwin, BASE_62 actually has the value 36 */
 
       case EOP_BASE62D:
-        {
-        uschar *tt = sub;
-        unsigned long int n = 0;
-        while (*tt != 0)
-          {
-          uschar *t = Ustrchr(base62_chars, *tt++);
-          if (!t)
-            {
-            expand_string_message = string_sprintf("argument for base62d "
-              "operator is \"%s\", which is not a base %d number", sub,
-              BASE_62);
-            goto EXPAND_FAILED;
-            }
-          n = n * BASE_62 + (t - base62_chars);
-          }
-        yield = string_fmt_append(yield, "%ld", n);
-        continue;
-        }
-
-      case EOP_BLESS:
-       /* This is purely for the convenience of the test harness.  Do not enable
-       it otherwise as it defeats the taint-checking security. */
-
-       if (f.running_in_test_harness)
-         yield = string_cat(yield, is_tainted(sub)
-                                   ? string_copy_taint(sub, FALSE) : sub);
-       else
+       {
+       uschar *tt = sub;
+       unsigned long int n = 0;
+       while (*tt != 0)
          {
          {
-         DEBUG(D_expand) debug_printf_indent("bless operator not supported\n");
-         yield = string_cat(yield, sub);
+         uschar *t = Ustrchr(base62_chars, *tt++);
+         if (!t)
+           {
+           expand_string_message = string_sprintf("argument for base62d "
+             "operator is \"%s\", which is not a base %d number", sub,
+             BASE_62);
+           goto EXPAND_FAILED;
+           }
+         n = n * BASE_62 + (t - base62_chars);
          }
          }
-       continue;
+       yield = string_fmt_append(yield, "%ld", n);
+       break;
+       }
 
       case EOP_EXPAND:
 
       case EOP_EXPAND:
-        {
-        uschar *expanded = expand_string_internal(sub, FALSE, NULL, skipping, TRUE, &resetok);
-        if (!expanded)
-          {
-          expand_string_message =
-            string_sprintf("internal expansion of \"%s\" failed: %s", sub,
-              expand_string_message);
-          goto EXPAND_FAILED;
-          }
-        yield = string_cat(yield, expanded);
-        continue;
-        }
+       {
+       uschar *expanded = expand_string_internal(sub, FALSE, NULL, skipping, TRUE, &resetok);
+       if (!expanded)
+         {
+         expand_string_message =
+           string_sprintf("internal expansion of \"%s\" failed: %s", sub,
+             expand_string_message);
+         goto EXPAND_FAILED;
+         }
+       yield = string_cat(yield, expanded);
+       break;
+       }
 
       case EOP_LC:
 
       case EOP_LC:
-        {
-        int count = 0;
-        uschar *t = sub - 1;
-        while (*(++t) != 0) { *t = tolower(*t); count++; }
-        yield = string_catn(yield, sub, count);
-        continue;
-        }
+       {
+       int count = 0;
+       uschar *t = sub - 1;
+       while (*(++t) != 0) { *t = tolower(*t); count++; }
+       yield = string_catn(yield, sub, count);
+       break;
+       }
 
       case EOP_UC:
 
       case EOP_UC:
-        {
-        int count = 0;
-        uschar *t = sub - 1;
-        while (*(++t) != 0) { *t = toupper(*t); count++; }
-        yield = string_catn(yield, sub, count);
-        continue;
-        }
+       {
+       int count = 0;
+       uschar *t = sub - 1;
+       while (*(++t) != 0) { *t = toupper(*t); count++; }
+       yield = string_catn(yield, sub, count);
+       break;
+       }
 
       case EOP_MD5:
 #ifndef DISABLE_TLS
 
       case EOP_MD5:
 #ifndef DISABLE_TLS
@@ -7057,7 +7233,7 @@ while (*s != 0)
          for (int j = 0; j < 16; j++)
            yield = string_fmt_append(yield, "%02x", digest[j]);
          }
          for (int j = 0; j < 16; j++)
            yield = string_fmt_append(yield, "%02x", digest[j]);
          }
-        continue;
+       break;
 
       case EOP_SHA1:
 #ifndef DISABLE_TLS
 
       case EOP_SHA1:
 #ifndef DISABLE_TLS
@@ -7076,7 +7252,7 @@ while (*s != 0)
          for (int j = 0; j < 20; j++)
            yield = string_fmt_append(yield, "%02X", digest[j]);
          }
          for (int j = 0; j < 20; j++)
            yield = string_fmt_append(yield, "%02X", digest[j]);
          }
-        continue;
+       break;
 
       case EOP_SHA2:
       case EOP_SHA256:
 
       case EOP_SHA2:
       case EOP_SHA256:
@@ -7102,7 +7278,7 @@ while (*s != 0)
            goto EXPAND_FAILED;
            }
 
            goto EXPAND_FAILED;
            }
 
-         exim_sha_update(&h, sub, Ustrlen(sub));
+         exim_sha_update_string(&h, sub);
          exim_sha_finish(&h, &b);
          while (b.len-- > 0)
            yield = string_fmt_append(yield, "%02X", *b.data++);
          exim_sha_finish(&h, &b);
          while (b.len-- > 0)
            yield = string_fmt_append(yield, "%02X", *b.data++);
@@ -7110,7 +7286,7 @@ while (*s != 0)
 #else
          expand_string_message = US"sha256 only supported with TLS";
 #endif
 #else
          expand_string_message = US"sha256 only supported with TLS";
 #endif
-        continue;
+       break;
 
       case EOP_SHA3:
 #ifdef EXIM_HAVE_SHA3
 
       case EOP_SHA3:
 #ifdef EXIM_HAVE_SHA3
@@ -7130,12 +7306,12 @@ while (*s != 0)
          goto EXPAND_FAILED;
          }
 
          goto EXPAND_FAILED;
          }
 
-       exim_sha_update(&h, sub, Ustrlen(sub));
+       exim_sha_update_string(&h, sub);
        exim_sha_finish(&h, &b);
        while (b.len-- > 0)
          yield = string_fmt_append(yield, "%02X", *b.data++);
        }
        exim_sha_finish(&h, &b);
        while (b.len-- > 0)
          yield = string_fmt_append(yield, "%02X", *b.data++);
        }
-        continue;
+       break;
 #else
        expand_string_message = US"sha3 only supported with GnuTLS 3.5.0 + or OpenSSL 1.1.1 +";
        goto EXPAND_FAILED;
 #else
        expand_string_message = US"sha3 only supported with GnuTLS 3.5.0 + or OpenSSL 1.1.1 +";
        goto EXPAND_FAILED;
@@ -7144,216 +7320,151 @@ while (*s != 0)
       /* Convert hex encoding to base64 encoding */
 
       case EOP_HEX2B64:
       /* Convert hex encoding to base64 encoding */
 
       case EOP_HEX2B64:
-        {
-        int c = 0;
-        int b = -1;
-        uschar *in = sub;
-        uschar *out = sub;
-        uschar *enc;
+       {
+       int c = 0;
+       int b = -1;
+       uschar *in = sub;
+       uschar *out = sub;
+       uschar *enc;
 
 
-        for (enc = sub; *enc; enc++)
-          {
-          if (!isxdigit(*enc))
-            {
-            expand_string_message = string_sprintf("\"%s\" is not a hex "
-              "string", sub);
-            goto EXPAND_FAILED;
-            }
-          c++;
-          }
+       for (enc = sub; *enc; enc++)
+         {
+         if (!isxdigit(*enc))
+           {
+           expand_string_message = string_sprintf("\"%s\" is not a hex "
+             "string", sub);
+           goto EXPAND_FAILED;
+           }
+         c++;
+         }
 
 
-        if ((c & 1) != 0)
-          {
-          expand_string_message = string_sprintf("\"%s\" contains an odd "
-            "number of characters", sub);
-          goto EXPAND_FAILED;
-          }
+       if ((c & 1) != 0)
+         {
+         expand_string_message = string_sprintf("\"%s\" contains an odd "
+           "number of characters", sub);
+         goto EXPAND_FAILED;
+         }
 
 
-        while ((c = *in++) != 0)
-          {
-          if (isdigit(c)) c -= '0';
-          else c = toupper(c) - 'A' + 10;
-          if (b == -1)
-            b = c << 4;
-          else
-            {
-            *out++ = b | c;
-            b = -1;
-            }
-          }
+       while ((c = *in++) != 0)
+         {
+         if (isdigit(c)) c -= '0';
+         else c = toupper(c) - 'A' + 10;
+         if (b == -1)
+           b = c << 4;
+         else
+           {
+           *out++ = b | c;
+           b = -1;
+           }
+         }
 
 
-        enc = b64encode(CUS sub, out - sub);
-        yield = string_cat(yield, enc);
-        continue;
-        }
+       enc = b64encode(CUS sub, out - sub);
+       yield = string_cat(yield, enc);
+       break;
+       }
 
       /* Convert octets outside 0x21..0x7E to \xXX form */
 
       case EOP_HEXQUOTE:
        {
 
       /* Convert octets outside 0x21..0x7E to \xXX form */
 
       case EOP_HEXQUOTE:
        {
-        uschar *t = sub - 1;
-        while (*(++t) != 0)
-          {
-          if (*t < 0x21 || 0x7E < *t)
-            yield = string_fmt_append(yield, "\\x%02x", *t);
+       uschar *t = sub - 1;
+       while (*(++t) != 0)
+         {
+         if (*t < 0x21 || 0x7E < *t)
+           yield = string_fmt_append(yield, "\\x%02x", *t);
          else
            yield = string_catn(yield, t, 1);
          else
            yield = string_catn(yield, t, 1);
-          }
-       continue;
+         }
+       break;
        }
 
       /* count the number of list elements */
 
       case EOP_LISTCOUNT:
        }
 
       /* count the number of list elements */
 
       case EOP_LISTCOUNT:
-        {
-       int cnt = 0;
-       int sep = 0;
-       uschar buffer[256];
+       {
+       int cnt = 0, sep = 0;
+       uschar * buf = store_get(2, sub);
 
 
-       while (string_nextinlist(CUSS &sub, &sep, buffer, sizeof(buffer))) cnt++;
+       while (string_nextinlist(CUSS &sub, &sep, buf, 1)) cnt++;
        yield = string_fmt_append(yield, "%d", cnt);
        yield = string_fmt_append(yield, "%d", cnt);
-        continue;
-        }
+       break;
+       }
 
       /* expand a named list given the name */
       /* handles nested named lists; requotes as colon-sep list */
 
       case EOP_LISTNAMED:
 
       /* expand a named list given the name */
       /* handles nested named lists; requotes as colon-sep list */
 
       case EOP_LISTNAMED:
+       expand_string_message = NULL;
+       yield = expand_listnamed(yield, sub, arg);
+       if (expand_string_message)
+         goto EXPAND_FAILED;
+       break;
+
+      /* quote a list-item for the given list-separator */
+
+      /* mask applies a mask to an IP address; for example the result of
+      ${mask:131.111.10.206/28} is 131.111.10.192/28. */
+
+      case EOP_MASK:
        {
        {
-       tree_node *t = NULL;
-       const uschar * list;
-       int sep = 0;
-       uschar * item;
-       uschar * suffix = US"";
-       BOOL needsep = FALSE;
-       uschar buffer[256];
-
-       if (*sub == '+') sub++;
-       if (!arg)               /* no-argument version */
-         {
-         if (!(t = tree_search(addresslist_anchor, sub)) &&
-             !(t = tree_search(domainlist_anchor,  sub)) &&
-             !(t = tree_search(hostlist_anchor,    sub)))
-           t = tree_search(localpartlist_anchor, sub);
-         }
-       else switch(*arg)       /* specific list-type version */
+       int count;
+       uschar *endptr;
+       int binary[4];
+       int type, mask, maskoffset;
+       BOOL normalised;
+       uschar buffer[64];
+
+       if ((type = string_is_ip_address(sub, &maskoffset)) == 0)
          {
          {
-         case 'a': t = tree_search(addresslist_anchor,   sub); suffix = US"_a"; break;
-         case 'd': t = tree_search(domainlist_anchor,    sub); suffix = US"_d"; break;
-         case 'h': t = tree_search(hostlist_anchor,      sub); suffix = US"_h"; break;
-         case 'l': t = tree_search(localpartlist_anchor, sub); suffix = US"_l"; break;
-         default:
-            expand_string_message = US"bad suffix on \"list\" operator";
-           goto EXPAND_FAILED;
+         expand_string_message = string_sprintf("\"%s\" is not an IP address",
+          sub);
+         goto EXPAND_FAILED;
          }
 
          }
 
-       if(!t)
+       if (maskoffset == 0)
          {
          {
-          expand_string_message = string_sprintf("\"%s\" is not a %snamed list",
-            sub, !arg?""
-             : *arg=='a'?"address "
-             : *arg=='d'?"domain "
-             : *arg=='h'?"host "
-             : *arg=='l'?"localpart "
-             : 0);
+         expand_string_message = string_sprintf("missing mask value in \"%s\"",
+           sub);
          goto EXPAND_FAILED;
          }
 
          goto EXPAND_FAILED;
          }
 
-       list = ((namedlist_block *)(t->data.ptr))->string;
+       mask = Ustrtol(sub + maskoffset + 1, &endptr, 10);
 
 
-       while ((item = string_nextinlist(&list, &sep, buffer, sizeof(buffer))))
+       if (*endptr || mask < 0 || mask > (type == 4 ? 32 : 128))
          {
          {
-         uschar * buf = US" : ";
-         if (needsep)
-           yield = string_catn(yield, buf, 3);
-         else
-           needsep = TRUE;
-
-         if (*item == '+')     /* list item is itself a named list */
-           {
-           uschar * sub = string_sprintf("${listnamed%s:%s}", suffix, item);
-           item = expand_string_internal(sub, FALSE, NULL, FALSE, TRUE, &resetok);
-           }
-         else if (sep != ':')  /* item from non-colon-sep list, re-quote for colon list-separator */
-           {
-           char * cp;
-           char tok[3];
-           tok[0] = sep; tok[1] = ':'; tok[2] = 0;
-           while ((cp= strpbrk(CCS item, tok)))
-             {
-              yield = string_catn(yield, item, cp - CS item);
-             if (*cp++ == ':') /* colon in a non-colon-sep list item, needs doubling */
-               {
-                yield = string_catn(yield, US"::", 2);
-               item = US cp;
-               }
-             else              /* sep in item; should already be doubled; emit once */
-               {
-                yield = string_catn(yield, US tok, 1);
-               if (*cp == sep) cp++;
-               item = US cp;
-               }
-             }
-           }
-          yield = string_cat(yield, item);
+         expand_string_message = string_sprintf("mask value too big in \"%s\"",
+           sub);
+         goto EXPAND_FAILED;
          }
          }
-        continue;
-       }
 
 
-      /* quote a list-item for the given list-separator */
+       /* If an optional 'n' was given, ipv6 gets normalised output:
+       colons rather than dots, and zero-compressed. */
 
 
-      /* mask applies a mask to an IP address; for example the result of
-      ${mask:131.111.10.206/28} is 131.111.10.192/28. */
+       normalised = arg && *arg == 'n';
 
 
-      case EOP_MASK:
-        {
-        int count;
-        uschar *endptr;
-        int binary[4];
-        int mask, maskoffset;
-        int type = string_is_ip_address(sub, &maskoffset);
-        uschar buffer[64];
-
-        if (type == 0)
-          {
-          expand_string_message = string_sprintf("\"%s\" is not an IP address",
-           sub);
-          goto EXPAND_FAILED;
-          }
-
-        if (maskoffset == 0)
-          {
-          expand_string_message = string_sprintf("missing mask value in \"%s\"",
-            sub);
-          goto EXPAND_FAILED;
-          }
+       /* Convert the address to binary integer(s) and apply the mask */
 
 
-        mask = Ustrtol(sub + maskoffset + 1, &endptr, 10);
+       sub[maskoffset] = 0;
+       count = host_aton(sub, binary);
+       host_mask(count, binary, mask);
 
 
-        if (*endptr != 0 || mask < 0 || mask > ((type == 4)? 32 : 128))
-          {
-          expand_string_message = string_sprintf("mask value too big in \"%s\"",
-            sub);
-          goto EXPAND_FAILED;
-          }
+       /* Convert to masked textual format and add to output. */
 
 
-        /* Convert the address to binary integer(s) and apply the mask */
-
-        sub[maskoffset] = 0;
-        count = host_aton(sub, binary);
-        host_mask(count, binary, mask);
-
-        /* Convert to masked textual format and add to output. */
-
-        yield = string_catn(yield, buffer,
-          host_nmtoa(count, binary, mask, buffer, '.'));
-        continue;
-        }
+       if (type == 4 || !normalised)
+         yield = string_catn(yield, buffer,
+           host_nmtoa(count, binary, mask, buffer, '.'));
+       else
+         {
+         ipv6_nmtoa(binary, buffer);
+         yield = string_fmt_append(yield, "%s/%d", buffer, mask);
+         }
+       break;
+       }
 
       case EOP_IPV6NORM:
       case EOP_IPV6DENORM:
        {
 
       case EOP_IPV6NORM:
       case EOP_IPV6DENORM:
        {
-        int type = string_is_ip_address(sub, NULL);
+       int type = string_is_ip_address(sub, NULL);
        int binary[4];
        uschar buffer[44];
 
        int binary[4];
        uschar buffer[44];
 
@@ -7379,94 +7490,94 @@ while (*s != 0)
                    ? ipv6_nmtoa(binary, buffer)
                    : host_nmtoa(4, binary, -1, buffer, ':')
                  );
                    ? ipv6_nmtoa(binary, buffer)
                    : host_nmtoa(4, binary, -1, buffer, ':')
                  );
-       continue;
+       break;
        }
 
       case EOP_ADDRESS:
       case EOP_LOCAL_PART:
       case EOP_DOMAIN:
        }
 
       case EOP_ADDRESS:
       case EOP_LOCAL_PART:
       case EOP_DOMAIN:
-        {
-        uschar * error;
-        int start, end, domain;
-        uschar * t = parse_extract_address(sub, &error, &start, &end, &domain,
-          FALSE);
-        if (t)
+       {
+       uschar * error;
+       int start, end, domain;
+       uschar * t = parse_extract_address(sub, &error, &start, &end, &domain,
+         FALSE);
+       if (t)
          if (c != EOP_DOMAIN)
            yield = c == EOP_LOCAL_PART && domain > 0
              ? string_catn(yield, t, domain - 1)
              : string_cat(yield, t);
          else if (domain > 0)
            yield = string_cat(yield, t + domain);
          if (c != EOP_DOMAIN)
            yield = c == EOP_LOCAL_PART && domain > 0
              ? string_catn(yield, t, domain - 1)
              : string_cat(yield, t);
          else if (domain > 0)
            yield = string_cat(yield, t + domain);
-        continue;
-        }
+       break;
+       }
 
       case EOP_ADDRESSES:
 
       case EOP_ADDRESSES:
-        {
-        uschar outsep[2] = { ':', '\0' };
-        uschar *address, *error;
-        int save_ptr = gstring_length(yield);
-        int start, end, domain;  /* Not really used */
+       {
+       uschar outsep[2] = { ':', '\0' };
+       uschar *address, *error;
+       int save_ptr = gstring_length(yield);
+       int start, end, domain;  /* Not really used */
 
        if (Uskip_whitespace(&sub) == '>')
 
        if (Uskip_whitespace(&sub) == '>')
-          if (*outsep = *++sub) ++sub;
-          else
+         if (*outsep = *++sub) ++sub;
+         else
            {
            {
-            expand_string_message = string_sprintf("output separator "
-              "missing in expanding ${addresses:%s}", --sub);
-            goto EXPAND_FAILED;
-            }
-        f.parse_allow_group = TRUE;
+           expand_string_message = string_sprintf("output separator "
+             "missing in expanding ${addresses:%s}", --sub);
+           goto EXPAND_FAILED;
+           }
+       f.parse_allow_group = TRUE;
 
 
-        for (;;)
-          {
-          uschar * p = parse_find_address_end(sub, FALSE);
-          uschar saveend = *p;
-          *p = '\0';
-          address = parse_extract_address(sub, &error, &start, &end, &domain,
-            FALSE);
-          *p = saveend;
-
-          /* Add the address to the output list that we are building. This is
-          done in chunks by searching for the separator character. At the
-          start, unless we are dealing with the first address of the output
-          list, add in a space if the new address begins with the separator
-          character, or is an empty string. */
-
-          if (address)
-            {
-            if (yield && yield->ptr != save_ptr && address[0] == *outsep)
-              yield = string_catn(yield, US" ", 1);
+       for (;;)
+         {
+         uschar * p = parse_find_address_end(sub, FALSE);
+         uschar saveend = *p;
+         *p = '\0';
+         address = parse_extract_address(sub, &error, &start, &end, &domain,
+           FALSE);
+         *p = saveend;
+
+         /* Add the address to the output list that we are building. This is
+         done in chunks by searching for the separator character. At the
+         start, unless we are dealing with the first address of the output
+         list, add in a space if the new address begins with the separator
+         character, or is an empty string. */
+
+         if (address)
+           {
+           if (yield && yield->ptr != save_ptr && address[0] == *outsep)
+             yield = string_catn(yield, US" ", 1);
 
 
-            for (;;)
-              {
-              size_t seglen = Ustrcspn(address, outsep);
-              yield = string_catn(yield, address, seglen + 1);
+           for (;;)
+             {
+             size_t seglen = Ustrcspn(address, outsep);
+             yield = string_catn(yield, address, seglen + 1);
 
 
-              /* If we got to the end of the string we output one character
-              too many. */
+             /* If we got to the end of the string we output one character
+             too many. */
 
 
-              if (address[seglen] == '\0') { yield->ptr--; break; }
-              yield = string_catn(yield, outsep, 1);
-              address += seglen + 1;
-              }
+             if (address[seglen] == '\0') { yield->ptr--; break; }
+             yield = string_catn(yield, outsep, 1);
+             address += seglen + 1;
+             }
 
 
-            /* Output a separator after the string: we will remove the
-            redundant final one at the end. */
+           /* Output a separator after the string: we will remove the
+           redundant final one at the end. */
 
 
-            yield = string_catn(yield, outsep, 1);
-            }
+           yield = string_catn(yield, outsep, 1);
+           }
 
 
-          if (saveend == '\0') break;
-          sub = p + 1;
-          }
+         if (saveend == '\0') break;
+         sub = p + 1;
+         }
 
 
-        /* If we have generated anything, remove the redundant final
-        separator. */
+       /* If we have generated anything, remove the redundant final
+       separator. */
 
 
-        if (yield && yield->ptr != save_ptr) yield->ptr--;
-        f.parse_allow_group = FALSE;
-        continue;
-        }
+       if (yield && yield->ptr != save_ptr) yield->ptr--;
+       f.parse_allow_group = FALSE;
+       break;
+       }
 
 
       /* quote puts a string in quotes if it is empty or contains anything
 
 
       /* quote puts a string in quotes if it is empty or contains anything
@@ -7480,589 +7591,615 @@ while (*s != 0)
 
       case EOP_QUOTE:
       case EOP_QUOTE_LOCAL_PART:
 
       case EOP_QUOTE:
       case EOP_QUOTE_LOCAL_PART:
-      if (!arg)
-        {
-        BOOL needs_quote = (!*sub);      /* TRUE for empty string */
-        uschar *t = sub - 1;
+       if (!arg)
+         {
+         BOOL needs_quote = (!*sub);      /* TRUE for empty string */
+         uschar *t = sub - 1;
 
 
-        if (c == EOP_QUOTE)
-          {
-          while (!needs_quote && *(++t) != 0)
-            needs_quote = !isalnum(*t) && !strchr("_-.", *t);
-          }
-        else  /* EOP_QUOTE_LOCAL_PART */
-          {
-          while (!needs_quote && *(++t) != 0)
-            needs_quote = !isalnum(*t) &&
-              strchr("!#$%&'*+-/=?^_`{|}~", *t) == NULL &&
-              (*t != '.' || t == sub || t[1] == 0);
-          }
+         if (c == EOP_QUOTE)
+           while (!needs_quote && *++t)
+             needs_quote = !isalnum(*t) && !strchr("_-.", *t);
 
 
-        if (needs_quote)
-          {
-          yield = string_catn(yield, US"\"", 1);
-          t = sub - 1;
-          while (*(++t) != 0)
-            {
-            if (*t == '\n')
-              yield = string_catn(yield, US"\\n", 2);
-            else if (*t == '\r')
-              yield = string_catn(yield, US"\\r", 2);
-            else
-              {
-              if (*t == '\\' || *t == '"')
-                yield = string_catn(yield, US"\\", 1);
-              yield = string_catn(yield, t, 1);
-              }
-            }
-          yield = string_catn(yield, US"\"", 1);
-          }
-        else yield = string_cat(yield, sub);
-        continue;
-        }
+         else  /* EOP_QUOTE_LOCAL_PART */
+           while (!needs_quote && *++t)
+             needs_quote = !isalnum(*t)
+               && strchr("!#$%&'*+-/=?^_`{|}~", *t) == NULL
+               && (*t != '.' || t == sub || !t[1]);
 
 
-      /* quote_lookuptype does lookup-specific quoting */
+         if (needs_quote)
+           {
+           yield = string_catn(yield, US"\"", 1);
+           t = sub - 1;
+           while (*++t)
+             if (*t == '\n')
+               yield = string_catn(yield, US"\\n", 2);
+             else if (*t == '\r')
+               yield = string_catn(yield, US"\\r", 2);
+             else
+               {
+               if (*t == '\\' || *t == '"')
+                 yield = string_catn(yield, US"\\", 1);
+               yield = string_catn(yield, t, 1);
+               }
+           yield = string_catn(yield, US"\"", 1);
+           }
+         else
+           yield = string_cat(yield, sub);
+         break;
+         }
 
 
-      else
-        {
-        int n;
-        uschar *opt = Ustrchr(arg, '_');
+       /* quote_lookuptype does lookup-specific quoting */
 
 
-        if (opt) *opt++ = 0;
+       else
+         {
+         int n;
+         uschar * opt = Ustrchr(arg, '_');
 
 
-        if ((n = search_findtype(arg, Ustrlen(arg))) < 0)
-          {
-          expand_string_message = search_error_message;
-          goto EXPAND_FAILED;
-          }
+         if (opt) *opt++ = 0;
 
 
-        if (lookup_list[n]->quote)
-          sub = (lookup_list[n]->quote)(sub, opt);
-        else if (opt)
-         sub = NULL;
+         if ((n = search_findtype(arg, Ustrlen(arg))) < 0)
+           {
+           expand_string_message = search_error_message;
+           goto EXPAND_FAILED;
+           }
 
 
-        if (!sub)
-          {
-          expand_string_message = string_sprintf(
-            "\"%s\" unrecognized after \"${quote_%s\"",
-            opt, arg);
-          goto EXPAND_FAILED;
-          }
+         if (lookup_list[n]->quote)
+           sub = (lookup_list[n]->quote)(sub, opt, (unsigned)n);
+         else if (opt)
+           sub = NULL;
 
 
-        yield = string_cat(yield, sub);
-        continue;
-        }
+         if (!sub)
+           {
+           expand_string_message = string_sprintf(
+             "\"%s\" unrecognized after \"${quote_%s\"",       /*}*/
+             opt, arg);
+           goto EXPAND_FAILED;
+           }
 
 
-      /* rx quote sticks in \ before any non-alphameric character so that
-      the insertion works in a regular expression. */
+         yield = string_cat(yield, sub);
+         break;
+         }
 
 
-      case EOP_RXQUOTE:
-        {
-        uschar *t = sub - 1;
-        while (*(++t) != 0)
-          {
-          if (!isalnum(*t))
-            yield = string_catn(yield, US"\\", 1);
-          yield = string_catn(yield, t, 1);
-          }
-        continue;
-        }
+       /* rx quote sticks in \ before any non-alphameric character so that
+       the insertion works in a regular expression. */
 
 
-      /* RFC 2047 encodes, assuming headers_charset (default ISO 8859-1) as
-      prescribed by the RFC, if there are characters that need to be encoded */
+       case EOP_RXQUOTE:
+         {
+         uschar *t = sub - 1;
+         while (*(++t) != 0)
+           {
+           if (!isalnum(*t))
+             yield = string_catn(yield, US"\\", 1);
+           yield = string_catn(yield, t, 1);
+           }
+         break;
+         }
 
 
-      case EOP_RFC2047:
-        {
-        uschar buffer[2048];
-        yield = string_cat(yield,
-                           parse_quote_2047(sub, Ustrlen(sub), headers_charset,
-                             buffer, sizeof(buffer), FALSE));
-        continue;
-        }
+       /* RFC 2047 encodes, assuming headers_charset (default ISO 8859-1) as
+       prescribed by the RFC, if there are characters that need to be encoded */
 
 
-      /* RFC 2047 decode */
+       case EOP_RFC2047:
+         yield = string_cat(yield,
+                             parse_quote_2047(sub, Ustrlen(sub), headers_charset,
+                               FALSE));
+         break;
 
 
-      case EOP_RFC2047D:
-        {
-        int len;
-        uschar *error;
-        uschar *decoded = rfc2047_decode(sub, check_rfc2047_length,
-          headers_charset, '?', &len, &error);
-        if (error)
-          {
-          expand_string_message = error;
-          goto EXPAND_FAILED;
-          }
-        yield = string_catn(yield, decoded, len);
-        continue;
-        }
+       /* RFC 2047 decode */
 
 
-      /* from_utf8 converts UTF-8 to 8859-1, turning non-existent chars into
-      underscores */
+       case EOP_RFC2047D:
+         {
+         int len;
+         uschar *error;
+         uschar *decoded = rfc2047_decode(sub, check_rfc2047_length,
+           headers_charset, '?', &len, &error);
+         if (error)
+           {
+           expand_string_message = error;
+           goto EXPAND_FAILED;
+           }
+         yield = string_catn(yield, decoded, len);
+         break;
+         }
 
 
-      case EOP_FROM_UTF8:
-        {
-       uschar * buff = store_get(4, is_tainted(sub));
-        while (*sub)
-          {
-          int c;
-          GETUTF8INC(c, sub);
-          if (c > 255) c = '_';
-          buff[0] = c;
-          yield = string_catn(yield, buff, 1);
-          }
-        continue;
-        }
+       /* from_utf8 converts UTF-8 to 8859-1, turning non-existent chars into
+       underscores */
 
 
-      /* replace illegal UTF-8 sequences by replacement character  */
+       case EOP_FROM_UTF8:
+         {
+         uschar * buff = store_get(4, sub);
+         while (*sub)
+           {
+           int c;
+           GETUTF8INC(c, sub);
+           if (c > 255) c = '_';
+           buff[0] = c;
+           yield = string_catn(yield, buff, 1);
+           }
+         break;
+         }
 
 
-      #define UTF8_REPLACEMENT_CHAR US"?"
+       /* replace illegal UTF-8 sequences by replacement character  */
 
 
-      case EOP_UTF8CLEAN:
-        {
-        int seq_len = 0, index = 0;
-        int bytes_left = 0;
-        long codepoint = -1;
-        int complete;
-        uschar seq_buff[4];                    /* accumulate utf-8 here */
+       #define UTF8_REPLACEMENT_CHAR US"?"
 
 
-       /* Manually track tainting, as we deal in individual chars below */
+       case EOP_UTF8CLEAN:
+         {
+         int seq_len = 0, index = 0;
+         int bytes_left = 0;
+         long codepoint = -1;
+         int complete;
+         uschar seq_buff[4];                   /* accumulate utf-8 here */
 
 
-       if (is_tainted(sub))
-         if (yield->s && yield->ptr)
-           gstring_rebuffer(yield);
-         else
-           yield->s = store_get(yield->size = Ustrlen(sub), TRUE);
+         /* Manually track tainting, as we deal in individual chars below */
 
 
-       /* Check the UTF-8, byte-by-byte */
+         if (!yield->s || !yield->ptr)
+           yield->s = store_get(yield->size = Ustrlen(sub), sub);
+         else if (is_incompatible(yield->s, sub))
+           gstring_rebuffer(yield, sub);
 
 
-        while (*sub)
-         {
-         complete = 0;
-         uschar c = *sub++;
+         /* Check the UTF-8, byte-by-byte */
 
 
-         if (bytes_left)
+         while (*sub)
            {
            {
-           if ((c & 0xc0) != 0x80)
-                   /* wrong continuation byte; invalidate all bytes */
-             complete = 1; /* error */
-           else
-             {
-             codepoint = (codepoint << 6) | (c & 0x3f);
-             seq_buff[index++] = c;
-             if (--bytes_left == 0)            /* codepoint complete */
-               if(codepoint > 0x10FFFF)        /* is it too large? */
-                 complete = -1;        /* error (RFC3629 limit) */
-               else
-                 {             /* finished; output utf-8 sequence */
-                 yield = string_catn(yield, seq_buff, seq_len);
-                 index = 0;
-                 }
-             }
-           }
-         else  /* no bytes left: new sequence */
-           {
-           if(!(c & 0x80))     /* 1-byte sequence, US-ASCII, keep it */
-             {
-             yield = string_catn(yield, &c, 1);
-             continue;
-             }
-           if((c & 0xe0) == 0xc0)              /* 2-byte sequence */
+           complete = 0;
+           uschar c = *sub++;
+
+           if (bytes_left)
              {
              {
-             if(c == 0xc0 || c == 0xc1)        /* 0xc0 and 0xc1 are illegal */
-               complete = -1;
+             if ((c & 0xc0) != 0x80)
+                     /* wrong continuation byte; invalidate all bytes */
+               complete = 1; /* error */
              else
                {
              else
                {
-                 bytes_left = 1;
-                 codepoint = c & 0x1f;
+               codepoint = (codepoint << 6) | (c & 0x3f);
+               seq_buff[index++] = c;
+               if (--bytes_left == 0)          /* codepoint complete */
+                 if(codepoint > 0x10FFFF)      /* is it too large? */
+                   complete = -1;      /* error (RFC3629 limit) */
+                 else
+                   {           /* finished; output utf-8 sequence */
+                   yield = string_catn(yield, seq_buff, seq_len);
+                   index = 0;
+                   }
                }
              }
                }
              }
-           else if((c & 0xf0) == 0xe0)         /* 3-byte sequence */
+           else        /* no bytes left: new sequence */
              {
              {
-             bytes_left = 2;
-             codepoint = c & 0x0f;
-             }
-           else if((c & 0xf8) == 0xf0)         /* 4-byte sequence */
+             if(!(c & 0x80))   /* 1-byte sequence, US-ASCII, keep it */
+               {
+               yield = string_catn(yield, &c, 1);
+               continue;
+               }
+             if((c & 0xe0) == 0xc0)            /* 2-byte sequence */
+               {
+               if(c == 0xc0 || c == 0xc1)      /* 0xc0 and 0xc1 are illegal */
+                 complete = -1;
+               else
+                 {
+                   bytes_left = 1;
+                   codepoint = c & 0x1f;
+                 }
+               }
+             else if((c & 0xf0) == 0xe0)               /* 3-byte sequence */
+               {
+               bytes_left = 2;
+               codepoint = c & 0x0f;
+               }
+             else if((c & 0xf8) == 0xf0)               /* 4-byte sequence */
+               {
+               bytes_left = 3;
+               codepoint = c & 0x07;
+               }
+             else      /* invalid or too long (RFC3629 allows only 4 bytes) */
+               complete = -1;
+
+             seq_buff[index++] = c;
+             seq_len = bytes_left + 1;
+             }         /* if(bytes_left) */
+
+           if (complete != 0)
              {
              {
-             bytes_left = 3;
-             codepoint = c & 0x07;
+             bytes_left = index = 0;
+             yield = string_catn(yield, UTF8_REPLACEMENT_CHAR, 1);
              }
              }
-           else        /* invalid or too long (RFC3629 allows only 4 bytes) */
-             complete = -1;
-
-           seq_buff[index++] = c;
-           seq_len = bytes_left + 1;
-           }           /* if(bytes_left) */
+           if ((complete == 1) && ((c & 0x80) == 0))
+                         /* ASCII character follows incomplete sequence */
+               yield = string_catn(yield, &c, 1);
+           }
+         /* If given a sequence truncated mid-character, we also want to report ?
+         Eg, ${length_1:フィル} is one byte, not one character, so we expect
+         ${utf8clean:${length_1:フィル}} to yield '?' */
 
 
-         if (complete != 0)
-           {
-           bytes_left = index = 0;
+         if (bytes_left != 0)
            yield = string_catn(yield, UTF8_REPLACEMENT_CHAR, 1);
            yield = string_catn(yield, UTF8_REPLACEMENT_CHAR, 1);
-           }
-         if ((complete == 1) && ((c & 0x80) == 0))
-                       /* ASCII character follows incomplete sequence */
-             yield = string_catn(yield, &c, 1);
-         }
-        /* If given a sequence truncated mid-character, we also want to report ?
-        * Eg, ${length_1:フィル} is one byte, not one character, so we expect
-        * ${utf8clean:${length_1:フィル}} to yield '?' */
-        if (bytes_left != 0)
-          yield = string_catn(yield, UTF8_REPLACEMENT_CHAR, 1);
 
 
-        continue;
-        }
+         break;
+         }
 
 #ifdef SUPPORT_I18N
 
 #ifdef SUPPORT_I18N
-      case EOP_UTF8_DOMAIN_TO_ALABEL:
-       {
-        uschar * error = NULL;
-       uschar * s = string_domain_utf8_to_alabel(sub, &error);
-       if (error)
+       case EOP_UTF8_DOMAIN_TO_ALABEL:
          {
          {
-         expand_string_message = string_sprintf(
-           "error converting utf8 (%s) to alabel: %s",
-           string_printing(sub), error);
-         goto EXPAND_FAILED;
+         uschar * error = NULL;
+         uschar * s = string_domain_utf8_to_alabel(sub, &error);
+         if (error)
+           {
+           expand_string_message = string_sprintf(
+             "error converting utf8 (%s) to alabel: %s",
+             string_printing(sub), error);
+           goto EXPAND_FAILED;
+           }
+         yield = string_cat(yield, s);
+         break;
          }
          }
-       yield = string_cat(yield, s);
-        continue;
-       }
 
 
-      case EOP_UTF8_DOMAIN_FROM_ALABEL:
-       {
-        uschar * error = NULL;
-       uschar * s = string_domain_alabel_to_utf8(sub, &error);
-       if (error)
+       case EOP_UTF8_DOMAIN_FROM_ALABEL:
          {
          {
-         expand_string_message = string_sprintf(
-           "error converting alabel (%s) to utf8: %s",
-           string_printing(sub), error);
-         goto EXPAND_FAILED;
+         uschar * error = NULL;
+         uschar * s = string_domain_alabel_to_utf8(sub, &error);
+         if (error)
+           {
+           expand_string_message = string_sprintf(
+             "error converting alabel (%s) to utf8: %s",
+             string_printing(sub), error);
+           goto EXPAND_FAILED;
+           }
+         yield = string_cat(yield, s);
+         break;
          }
          }
-       yield = string_cat(yield, s);
-        continue;
-       }
 
 
-      case EOP_UTF8_LOCALPART_TO_ALABEL:
-       {
-        uschar * error = NULL;
-       uschar * s = string_localpart_utf8_to_alabel(sub, &error);
-       if (error)
+       case EOP_UTF8_LOCALPART_TO_ALABEL:
          {
          {
-         expand_string_message = string_sprintf(
-           "error converting utf8 (%s) to alabel: %s",
-           string_printing(sub), error);
-         goto EXPAND_FAILED;
+         uschar * error = NULL;
+         uschar * s = string_localpart_utf8_to_alabel(sub, &error);
+         if (error)
+           {
+           expand_string_message = string_sprintf(
+             "error converting utf8 (%s) to alabel: %s",
+             string_printing(sub), error);
+           goto EXPAND_FAILED;
+           }
+         yield = string_cat(yield, s);
+         DEBUG(D_expand) debug_printf_indent("yield: '%s'\n", yield->s);
+         break;
          }
          }
-       yield = string_cat(yield, s);
-       DEBUG(D_expand) debug_printf_indent("yield: '%s'\n", yield->s);
-        continue;
-       }
 
 
-      case EOP_UTF8_LOCALPART_FROM_ALABEL:
-       {
-        uschar * error = NULL;
-       uschar * s = string_localpart_alabel_to_utf8(sub, &error);
-       if (error)
+       case EOP_UTF8_LOCALPART_FROM_ALABEL:
          {
          {
-         expand_string_message = string_sprintf(
-           "error converting alabel (%s) to utf8: %s",
-           string_printing(sub), error);
-         goto EXPAND_FAILED;
+         uschar * error = NULL;
+         uschar * s = string_localpart_alabel_to_utf8(sub, &error);
+         if (error)
+           {
+           expand_string_message = string_sprintf(
+             "error converting alabel (%s) to utf8: %s",
+             string_printing(sub), error);
+           goto EXPAND_FAILED;
+           }
+         yield = string_cat(yield, s);
+         break;
          }
          }
-       yield = string_cat(yield, s);
-        continue;
-       }
 #endif /* EXPERIMENTAL_INTERNATIONAL */
 
 #endif /* EXPERIMENTAL_INTERNATIONAL */
 
-      /* escape turns all non-printing characters into escape sequences. */
+       /* escape turns all non-printing characters into escape sequences. */
 
 
-      case EOP_ESCAPE:
-        {
-        const uschar * t = string_printing(sub);
-        yield = string_cat(yield, t);
-        continue;
-        }
+       case EOP_ESCAPE:
+         {
+         const uschar * t = string_printing(sub);
+         yield = string_cat(yield, t);
+         break;
+         }
 
 
-      case EOP_ESCAPE8BIT:
-       {
-       uschar c;
+       case EOP_ESCAPE8BIT:
+         {
+         uschar c;
 
 
-       for (const uschar * s = sub; (c = *s); s++)
-         yield = c < 127 && c != '\\'
-           ? string_catn(yield, s, 1)
-           : string_fmt_append(yield, "\\%03o", c);
-       continue;
-       }
+         for (const uschar * s = sub; (c = *s); s++)
+           yield = c < 127 && c != '\\'
+             ? string_catn(yield, s, 1)
+             : string_fmt_append(yield, "\\%03o", c);
+         break;
+         }
 
 
-      /* Handle numeric expression evaluation */
+       /* Handle numeric expression evaluation */
 
 
-      case EOP_EVAL:
-      case EOP_EVAL10:
-        {
-        uschar *save_sub = sub;
-        uschar *error = NULL;
-        int_eximarith_t n = eval_expr(&sub, (c == EOP_EVAL10), &error, FALSE);
-        if (error)
-          {
-          expand_string_message = string_sprintf("error in expression "
-            "evaluation: %s (after processing \"%.*s\")", error,
-           (int)(sub-save_sub), save_sub);
-          goto EXPAND_FAILED;
-          }
-        yield = string_fmt_append(yield, PR_EXIM_ARITH, n);
-        continue;
-        }
+       case EOP_EVAL:
+       case EOP_EVAL10:
+         {
+         uschar *save_sub = sub;
+         uschar *error = NULL;
+         int_eximarith_t n = eval_expr(&sub, (c == EOP_EVAL10), &error, FALSE);
+         if (error)
+           {
+           expand_string_message = string_sprintf("error in expression "
+             "evaluation: %s (after processing \"%.*s\")", error,
+             (int)(sub-save_sub), save_sub);
+           goto EXPAND_FAILED;
+           }
+         yield = string_fmt_append(yield, PR_EXIM_ARITH, n);
+         break;
+         }
 
 
-      /* Handle time period formatting */
+       /* Handle time period formatting */
 
 
-      case EOP_TIME_EVAL:
-        {
-        int n = readconf_readtime(sub, 0, FALSE);
-        if (n < 0)
-          {
-          expand_string_message = string_sprintf("string \"%s\" is not an "
-            "Exim time interval in \"%s\" operator", sub, name);
-          goto EXPAND_FAILED;
-          }
-        yield = string_fmt_append(yield, "%d", n);
-        continue;
-        }
+       case EOP_TIME_EVAL:
+         {
+         int n = readconf_readtime(sub, 0, FALSE);
+         if (n < 0)
+           {
+           expand_string_message = string_sprintf("string \"%s\" is not an "
+             "Exim time interval in \"%s\" operator", sub, name);
+           goto EXPAND_FAILED;
+           }
+         yield = string_fmt_append(yield, "%d", n);
+         break;
+         }
 
 
-      case EOP_TIME_INTERVAL:
-        {
-        int n;
-        uschar *t = read_number(&n, sub);
-        if (*t != 0) /* Not A Number*/
-          {
-          expand_string_message = string_sprintf("string \"%s\" is not a "
-            "positive number in \"%s\" operator", sub, name);
-          goto EXPAND_FAILED;
-          }
-        t = readconf_printtime(n);
-        yield = string_cat(yield, t);
-        continue;
-        }
+       case EOP_TIME_INTERVAL:
+         {
+         int n;
+         uschar *t = read_number(&n, sub);
+         if (*t != 0) /* Not A Number*/
+           {
+           expand_string_message = string_sprintf("string \"%s\" is not a "
+             "positive number in \"%s\" operator", sub, name);
+           goto EXPAND_FAILED;
+           }
+         t = readconf_printtime(n);
+         yield = string_cat(yield, t);
+         break;
+         }
 
 
-      /* Convert string to base64 encoding */
+       /* Convert string to base64 encoding */
 
 
-      case EOP_STR2B64:
-      case EOP_BASE64:
-       {
+       case EOP_STR2B64:
+       case EOP_BASE64:
+         {
 #ifndef DISABLE_TLS
 #ifndef DISABLE_TLS
-       uschar * s = vp && *(void **)vp->value
-         ? tls_cert_der_b64(*(void **)vp->value)
-         : b64encode(CUS sub, Ustrlen(sub));
+         uschar * s = vp && *(void **)vp->value
+           ? tls_cert_der_b64(*(void **)vp->value)
+           : b64encode(CUS sub, Ustrlen(sub));
 #else
 #else
-       uschar * s = b64encode(CUS sub, Ustrlen(sub));
+         uschar * s = b64encode(CUS sub, Ustrlen(sub));
 #endif
 #endif
-       yield = string_cat(yield, s);
-       continue;
-       }
+         yield = string_cat(yield, s);
+         break;
+         }
 
 
-      case EOP_BASE64D:
-        {
-        uschar * s;
-        int len = b64decode(sub, &s);
-       if (len < 0)
-          {
-          expand_string_message = string_sprintf("string \"%s\" is not "
-            "well-formed for \"%s\" operator", sub, name);
-          goto EXPAND_FAILED;
-          }
-        yield = string_cat(yield, s);
-        continue;
-        }
+       case EOP_BASE64D:
+         {
+         uschar * s;
+         int len = b64decode(sub, &s);
+         if (len < 0)
+           {
+           expand_string_message = string_sprintf("string \"%s\" is not "
+             "well-formed for \"%s\" operator", sub, name);
+           goto EXPAND_FAILED;
+           }
+         yield = string_cat(yield, s);
+         break;
+         }
 
 
-      /* strlen returns the length of the string */
+       /* strlen returns the length of the string */
 
 
-      case EOP_STRLEN:
-        yield = string_fmt_append(yield, "%d", Ustrlen(sub));
-        continue;
+       case EOP_STRLEN:
+         yield = string_fmt_append(yield, "%d", Ustrlen(sub));
+         break;
 
 
-      /* length_n or l_n takes just the first n characters or the whole string,
-      whichever is the shorter;
-
-      substr_m_n, and s_m_n take n characters from offset m; negative m take
-      from the end; l_n is synonymous with s_0_n. If n is omitted in substr it
-      takes the rest, either to the right or to the left.
-
-      hash_n or h_n makes a hash of length n from the string, yielding n
-      characters from the set a-z; hash_n_m makes a hash of length n, but
-      uses m characters from the set a-zA-Z0-9.
-
-      nhash_n returns a single number between 0 and n-1 (in text form), while
-      nhash_n_m returns a div/mod hash as two numbers "a/b". The first lies
-      between 0 and n-1 and the second between 0 and m-1. */
-
-      case EOP_LENGTH:
-      case EOP_L:
-      case EOP_SUBSTR:
-      case EOP_S:
-      case EOP_HASH:
-      case EOP_H:
-      case EOP_NHASH:
-      case EOP_NH:
-        {
-        int sign = 1;
-        int value1 = 0;
-        int value2 = -1;
-        int *pn;
-        int len;
-        uschar *ret;
-
-        if (!arg)
-          {
-          expand_string_message = string_sprintf("missing values after %s",
-            name);
-          goto EXPAND_FAILED;
-          }
+       /* length_n or l_n takes just the first n characters or the whole string,
+       whichever is the shorter;
+
+       substr_m_n, and s_m_n take n characters from offset m; negative m take
+       from the end; l_n is synonymous with s_0_n. If n is omitted in substr it
+       takes the rest, either to the right or to the left.
+
+       hash_n or h_n makes a hash of length n from the string, yielding n
+       characters from the set a-z; hash_n_m makes a hash of length n, but
+       uses m characters from the set a-zA-Z0-9.
+
+       nhash_n returns a single number between 0 and n-1 (in text form), while
+       nhash_n_m returns a div/mod hash as two numbers "a/b". The first lies
+       between 0 and n-1 and the second between 0 and m-1. */
+
+       case EOP_LENGTH:
+       case EOP_L:
+       case EOP_SUBSTR:
+       case EOP_S:
+       case EOP_HASH:
+       case EOP_H:
+       case EOP_NHASH:
+       case EOP_NH:
+         {
+         int sign = 1;
+         int value1 = 0;
+         int value2 = -1;
+         int *pn;
+         int len;
+         uschar *ret;
 
 
-        /* "length" has only one argument, effectively being synonymous with
-        substr_0_n. */
+         if (!arg)
+           {
+           expand_string_message = string_sprintf("missing values after %s",
+             name);
+           goto EXPAND_FAILED;
+           }
 
 
-        if (c == EOP_LENGTH || c == EOP_L)
-          {
-          pn = &value2;
-          value2 = 0;
-          }
+         /* "length" has only one argument, effectively being synonymous with
+         substr_0_n. */
 
 
-        /* The others have one or two arguments; for "substr" the first may be
-        negative. The second being negative means "not supplied". */
+         if (c == EOP_LENGTH || c == EOP_L)
+           {
+           pn = &value2;
+           value2 = 0;
+           }
 
 
-        else
-          {
-          pn = &value1;
-          if (name[0] == 's' && *arg == '-') { sign = -1; arg++; }
-          }
+         /* The others have one or two arguments; for "substr" the first may be
+         negative. The second being negative means "not supplied". */
 
 
-        /* Read up to two numbers, separated by underscores */
+         else
+           {
+           pn = &value1;
+           if (name[0] == 's' && *arg == '-') { sign = -1; arg++; }
+           }
 
 
-        ret = arg;
-        while (*arg != 0)
-          {
-          if (arg != ret && *arg == '_' && pn == &value1)
-            {
-            pn = &value2;
-            value2 = 0;
-            if (arg[1] != 0) arg++;
-            }
-          else if (!isdigit(*arg))
-            {
-            expand_string_message =
-              string_sprintf("non-digit after underscore in \"%s\"", name);
-            goto EXPAND_FAILED;
-            }
-          else *pn = (*pn)*10 + *arg++ - '0';
-          }
-        value1 *= sign;
+         /* Read up to two numbers, separated by underscores */
 
 
-        /* Perform the required operation */
+         ret = arg;
+         while (*arg != 0)
+           {
+           if (arg != ret && *arg == '_' && pn == &value1)
+             {
+             pn = &value2;
+             value2 = 0;
+             if (arg[1] != 0) arg++;
+             }
+           else if (!isdigit(*arg))
+             {
+             expand_string_message =
+               string_sprintf("non-digit after underscore in \"%s\"", name);
+             goto EXPAND_FAILED;
+             }
+           else *pn = (*pn)*10 + *arg++ - '0';
+           }
+         value1 *= sign;
 
 
-        ret = c == EOP_HASH || c == EOP_H
-         ? compute_hash(sub, value1, value2, &len)
-         : c == EOP_NHASH || c == EOP_NH
-         ? compute_nhash(sub, value1, value2, &len)
-         : extract_substr(sub, value1, value2, &len);
-        if (!ret) goto EXPAND_FAILED;
+         /* Perform the required operation */
 
 
-        yield = string_catn(yield, ret, len);
-        continue;
-        }
+         ret = c == EOP_HASH || c == EOP_H
+           ? compute_hash(sub, value1, value2, &len)
+           : c == EOP_NHASH || c == EOP_NH
+           ? compute_nhash(sub, value1, value2, &len)
+           : extract_substr(sub, value1, value2, &len);
+         if (!ret) goto EXPAND_FAILED;
 
 
-      /* Stat a path */
+         yield = string_catn(yield, ret, len);
+         break;
+         }
 
 
-      case EOP_STAT:
-        {
-        uschar smode[12];
-        uschar **modetable[3];
-        mode_t mode;
-        struct stat st;
+       /* Stat a path */
 
 
-        if (expand_forbid & RDO_EXISTS)
-          {
-          expand_string_message = US"Use of the stat() expansion is not permitted";
-          goto EXPAND_FAILED;
-          }
+       case EOP_STAT:
+         {
+         uschar smode[12];
+         uschar **modetable[3];
+         mode_t mode;
+         struct stat st;
 
 
-        if (stat(CS sub, &st) < 0)
-          {
-          expand_string_message = string_sprintf("stat(%s) failed: %s",
-            sub, strerror(errno));
-          goto EXPAND_FAILED;
-          }
-        mode = st.st_mode;
-        switch (mode & S_IFMT)
-          {
-          case S_IFIFO: smode[0] = 'p'; break;
-          case S_IFCHR: smode[0] = 'c'; break;
-          case S_IFDIR: smode[0] = 'd'; break;
-          case S_IFBLK: smode[0] = 'b'; break;
-          case S_IFREG: smode[0] = '-'; break;
-          default: smode[0] = '?'; break;
-          }
+         if (expand_forbid & RDO_EXISTS)
+           {
+           expand_string_message = US"Use of the stat() expansion is not permitted";
+           goto EXPAND_FAILED;
+           }
 
 
-        modetable[0] = ((mode & 01000) == 0)? mtable_normal : mtable_sticky;
-        modetable[1] = ((mode & 02000) == 0)? mtable_normal : mtable_setid;
-        modetable[2] = ((mode & 04000) == 0)? mtable_normal : mtable_setid;
+         if (stat(CS sub, &st) < 0)
+           {
+           expand_string_message = string_sprintf("stat(%s) failed: %s",
+             sub, strerror(errno));
+           goto EXPAND_FAILED;
+           }
+         mode = st.st_mode;
+         switch (mode & S_IFMT)
+           {
+           case S_IFIFO: smode[0] = 'p'; break;
+           case S_IFCHR: smode[0] = 'c'; break;
+           case S_IFDIR: smode[0] = 'd'; break;
+           case S_IFBLK: smode[0] = 'b'; break;
+           case S_IFREG: smode[0] = '-'; break;
+           default: smode[0] = '?'; break;
+           }
 
 
-        for (int i = 0; i < 3; i++)
-          {
-          memcpy(CS(smode + 7 - i*3), CS(modetable[i][mode & 7]), 3);
-          mode >>= 3;
-          }
+         modetable[0] = ((mode & 01000) == 0)? mtable_normal : mtable_sticky;
+         modetable[1] = ((mode & 02000) == 0)? mtable_normal : mtable_setid;
+         modetable[2] = ((mode & 04000) == 0)? mtable_normal : mtable_setid;
 
 
-        smode[10] = 0;
-        yield = string_fmt_append(yield,
-         "mode=%04lo smode=%s inode=%ld device=%ld links=%ld "
-          "uid=%ld gid=%ld size=" OFF_T_FMT " atime=%ld mtime=%ld ctime=%ld",
-          (long)(st.st_mode & 077777), smode, (long)st.st_ino,
-          (long)st.st_dev, (long)st.st_nlink, (long)st.st_uid,
-          (long)st.st_gid, st.st_size, (long)st.st_atime,
-          (long)st.st_mtime, (long)st.st_ctime);
-        continue;
-        }
+         for (int i = 0; i < 3; i++)
+           {
+           memcpy(CS(smode + 7 - i*3), CS(modetable[i][mode & 7]), 3);
+           mode >>= 3;
+           }
 
 
-      /* vaguely random number less than N */
+         smode[10] = 0;
+         yield = string_fmt_append(yield,
+           "mode=%04lo smode=%s inode=%ld device=%ld links=%ld "
+           "uid=%ld gid=%ld size=" OFF_T_FMT " atime=%ld mtime=%ld ctime=%ld",
+           (long)(st.st_mode & 077777), smode, (long)st.st_ino,
+           (long)st.st_dev, (long)st.st_nlink, (long)st.st_uid,
+           (long)st.st_gid, st.st_size, (long)st.st_atime,
+           (long)st.st_mtime, (long)st.st_ctime);
+         break;
+         }
 
 
-      case EOP_RANDINT:
-        {
-        int_eximarith_t max = expanded_string_integer(sub, TRUE);
+       /* vaguely random number less than N */
 
 
-        if (expand_string_message)
-          goto EXPAND_FAILED;
-        yield = string_fmt_append(yield, "%d", vaguely_random_number((int)max));
-        continue;
-        }
+       case EOP_RANDINT:
+         {
+         int_eximarith_t max = expanded_string_integer(sub, TRUE);
 
 
-      /* Reverse IP, including IPv6 to dotted-nibble */
+         if (expand_string_message)
+           goto EXPAND_FAILED;
+         yield = string_fmt_append(yield, "%d", vaguely_random_number((int)max));
+         break;
+         }
 
 
-      case EOP_REVERSE_IP:
-        {
-        int family, maskptr;
-        uschar reversed[128];
+       /* Reverse IP, including IPv6 to dotted-nibble */
 
 
-        family = string_is_ip_address(sub, &maskptr);
-        if (family == 0)
-          {
-          expand_string_message = string_sprintf(
-              "reverse_ip() not given an IP address [%s]", sub);
-          goto EXPAND_FAILED;
-          }
-        invert_address(reversed, sub);
-        yield = string_cat(yield, reversed);
-        continue;
-        }
+       case EOP_REVERSE_IP:
+         {
+         int family, maskptr;
+         uschar reversed[128];
 
 
-      /* Unknown operator */
+         family = string_is_ip_address(sub, &maskptr);
+         if (family == 0)
+           {
+           expand_string_message = string_sprintf(
+               "reverse_ip() not given an IP address [%s]", sub);
+           goto EXPAND_FAILED;
+           }
+         invert_address(reversed, sub);
+         yield = string_cat(yield, reversed);
+         break;
+         }
 
 
-      default:
-       expand_string_message =
-         string_sprintf("unknown expansion operator \"%s\"", name);
-       goto EXPAND_FAILED;
-      }
+       /* Unknown operator */
+
+       default:
+         expand_string_message =
+           string_sprintf("unknown expansion operator \"%s\"", name);
+         goto EXPAND_FAILED;
+       }       /* EOP_* switch */
+
+       DEBUG(D_expand)
+       {
+       const uschar * s = yield->s + start;
+       int i = yield->ptr - start;
+       BOOL tainted = is_tainted(s);
+
+       DEBUG(D_noutf8)
+         {
+         debug_printf_indent("|-----op-res: %.*s\n", i, s);
+         if (tainted)
+           {
+           debug_printf_indent("%s     \\__", skipping ? "|     " : "      ");
+           debug_print_taint(yield->s);
+           }
+         }
+       else
+         {
+         debug_printf_indent(UTF8_VERT_RIGHT
+           UTF8_HORIZ UTF8_HORIZ UTF8_HORIZ UTF8_HORIZ UTF8_HORIZ
+           "op-res: %.*s\n", i, s);
+         if (tainted)
+           {
+           debug_printf_indent("%s",
+             skipping
+             ? UTF8_VERT "             " : "           " UTF8_UP_RIGHT UTF8_HORIZ UTF8_HORIZ);
+           debug_print_taint(yield->s);
+           }
+         }
+       }
+       continue;
+       }
     }
 
     }
 
+  /* Not an item or an operator */
   /* Handle a plain name. If this is the first thing in the expansion, release
   the pre-allocated buffer. If the result data is known to be in a new buffer,
   newsize will be set to the size of that buffer, and we can just point at that
   /* Handle a plain name. If this is the first thing in the expansion, release
   the pre-allocated buffer. If the result data is known to be in a new buffer,
   newsize will be set to the size of that buffer, and we can just point at that
@@ -8072,18 +8209,19 @@ while (*s != 0)
                                                /*{*/
   if (*s++ == '}')
     {
                                                /*{*/
   if (*s++ == '}')
     {
+    const uschar * value;
     int len;
     int newsize = 0;
     gstring * g = NULL;
 
     if (!yield)
     int len;
     int newsize = 0;
     gstring * g = NULL;
 
     if (!yield)
-      g = store_get(sizeof(gstring), FALSE);
+      g = store_get(sizeof(gstring), GET_UNTAINTED);
     else if (yield->ptr == 0)
       {
       if (resetok) reset_point = store_reset(reset_point);
       yield = NULL;
       reset_point = store_mark();
     else if (yield->ptr == 0)
       {
       if (resetok) reset_point = store_reset(reset_point);
       yield = NULL;
       reset_point = store_mark();
-      g = store_get(sizeof(gstring), FALSE);   /* alloc _before_ calling find_variable() */
+      g = store_get(sizeof(gstring), GET_UNTAINTED);   /* alloc _before_ calling find_variable() */
       }
     if (!(value = find_variable(name, FALSE, skipping, &newsize)))
       {
       }
     if (!(value = find_variable(name, FALSE, skipping, &newsize)))
       {
@@ -8098,7 +8236,7 @@ while (*s != 0)
       yield = g;
       yield->size = newsize;
       yield->ptr = len;
       yield = g;
       yield->size = newsize;
       yield->ptr = len;
-      yield->s = value;
+      yield->s = US value; /* known to be in new store i.e. a copy, so deconst safe */
       }
     else
       yield = string_catn(yield, value, len);
       }
     else
       yield = string_catn(yield, value, len);
@@ -8116,7 +8254,7 @@ while (*s != 0)
 /* If we hit the end of the string when ket_ends is set, there is a missing
 terminating brace. */
 
 /* If we hit the end of the string when ket_ends is set, there is a missing
 terminating brace. */
 
-if (ket_ends && *s == 0)
+if (ket_ends && !*s)
   {
   expand_string_message = malformed_header
     ? US"missing } at end of string - could be header name not terminated by colon"
   {
   expand_string_message = malformed_header
     ? US"missing } at end of string - could be header name not terminated by colon"
@@ -8149,8 +8287,10 @@ DEBUG(D_expand)
     debug_printf_indent("%sresult: %s\n",
       skipping ? "|-----" : "\\_____", yield->s);
     if (tainted)
     debug_printf_indent("%sresult: %s\n",
       skipping ? "|-----" : "\\_____", yield->s);
     if (tainted)
-      debug_printf_indent("%s     \\__(tainted)\n",
-       skipping ? "|     " : "      ");
+      {
+      debug_printf_indent("%s     \\__", skipping ? "|     " : "      ");
+      debug_print_taint(yield->s);
+      }
     if (skipping)
       debug_printf_indent("\\___skipping: result is not used\n");
     }
     if (skipping)
       debug_printf_indent("\\___skipping: result is not used\n");
     }
@@ -8164,9 +8304,12 @@ DEBUG(D_expand)
       skipping ? UTF8_VERT_RIGHT : UTF8_UP_RIGHT,
       yield->s);
     if (tainted)
       skipping ? UTF8_VERT_RIGHT : UTF8_UP_RIGHT,
       yield->s);
     if (tainted)
-      debug_printf_indent("%s(tainted)\n",
+      {
+      debug_printf_indent("%s",
        skipping
        ? UTF8_VERT "             " : "           " UTF8_UP_RIGHT UTF8_HORIZ UTF8_HORIZ);
        skipping
        ? UTF8_VERT "             " : "           " UTF8_UP_RIGHT UTF8_HORIZ UTF8_HORIZ);
+      debug_print_taint(yield->s);
+      }
     if (skipping)
       debug_printf_indent(UTF8_UP_RIGHT UTF8_HORIZ UTF8_HORIZ UTF8_HORIZ
        "skipping: result is not used\n");
     if (skipping)
       debug_printf_indent(UTF8_UP_RIGHT UTF8_HORIZ UTF8_HORIZ UTF8_HORIZ
        "skipping: result is not used\n");
@@ -8193,6 +8336,7 @@ that is a bad idea, because expand_string_message is in dynamic store. */
 EXPAND_FAILED:
 if (left) *left = s;
 DEBUG(D_expand)
 EXPAND_FAILED:
 if (left) *left = s;
 DEBUG(D_expand)
+  {
   DEBUG(D_noutf8)
     {
     debug_printf_indent("|failed to expand: %s\n", string);
   DEBUG(D_noutf8)
     {
     debug_printf_indent("|failed to expand: %s\n", string);
@@ -8212,6 +8356,7 @@ DEBUG(D_expand)
     if (f.expand_string_forcedfail)
       debug_printf_indent(UTF8_UP_RIGHT "failure was forced\n");
     }
     if (f.expand_string_forcedfail)
       debug_printf_indent(UTF8_UP_RIGHT "failure was forced\n");
     }
+  }
 if (resetok_p && !resetok) *resetok_p = FALSE;
 expand_level--;
 return NULL;
 if (resetok_p && !resetok) *resetok_p = FALSE;
 expand_level--;
 return NULL;
@@ -8519,6 +8664,7 @@ typedef struct {
   const uschar *var_data;
 } err_ctx;
 
   const uschar *var_data;
 } err_ctx;
 
+/* Called via tree_walk, which allows nonconst name/data.  Our usage is const. */
 static void
 assert_variable_notin(uschar * var_name, uschar * var_data, void * ctx)
 {
 static void
 assert_variable_notin(uschar * var_name, uschar * var_data, void * ctx)
 {
@@ -8540,13 +8686,14 @@ err_ctx e = { .region_start = ptr, .region_end = US ptr + len,
 tree_walk(acl_var_c, assert_variable_notin, &e);
 tree_walk(acl_var_m, assert_variable_notin, &e);
 
 tree_walk(acl_var_c, assert_variable_notin, &e);
 tree_walk(acl_var_m, assert_variable_notin, &e);
 
-/* check auth<n> variables */
+/* check auth<n> variables.
+assert_variable_notin() treats as const, so deconst is safe. */
 for (int i = 0; i < AUTH_VARS; i++) if (auth_vars[i])
 for (int i = 0; i < AUTH_VARS; i++) if (auth_vars[i])
-  assert_variable_notin(US"auth<n>", auth_vars[i], &e);
+  assert_variable_notin(US"auth<n>", US auth_vars[i], &e);
 
 
-/* check regex<n> variables */
+/* check regex<n> variables. assert_variable_notin() treats as const. */
 for (int i = 0; i < REGEX_VARS; i++) if (regex_vars[i])
 for (int i = 0; i < REGEX_VARS; i++) if (regex_vars[i])
-  assert_variable_notin(US"regex<n>", regex_vars[i], &e);
+  assert_variable_notin(US"regex<n>", US regex_vars[i], &e);
 
 /* check known-name variables */
 for (var_entry * v = var_table; v < var_table + var_table_size; v++)
 
 /* check known-name variables */
 for (var_entry * v = var_table; v < var_table + var_table_size; v++)
@@ -8577,11 +8724,11 @@ if (e.var_name)
 
 
 BOOL
 
 
 BOOL
-regex_match_and_setup(const pcre *re, uschar *subject, int options, int setup)
+regex_match_and_setup(const pcre2_code *re, uschar *subject, int options, int setup)
 {
 {
-int ovector[3*(EXPAND_MAXN+1)];
+int ovec[3*(EXPAND_MAXN+1)];
 int n = pcre_exec(re, NULL, subject, Ustrlen(subject), 0, PCRE_EOPT|options,
 int n = pcre_exec(re, NULL, subject, Ustrlen(subject), 0, PCRE_EOPT|options,
-  ovector, nelem(ovector));
+  ovec, nelem(ovec));
 BOOL yield = n >= 0;
 if (n == 0) n = EXPAND_MAXN + 1;
 if (yield)
 BOOL yield = n >= 0;
 if (n == 0) n = EXPAND_MAXN + 1;
 if (yield)
@@ -8589,8 +8736,8 @@ if (yield)
   expand_nmax = setup < 0 ? 0 : setup + 1;
   for (int nn = setup < 0 ? 0 : 2; nn < n*2; nn += 2)
     {
   expand_nmax = setup < 0 ? 0 : setup + 1;
   for (int nn = setup < 0 ? 0 : 2; nn < n*2; nn += 2)
     {
-    expand_nstring[expand_nmax] = subject + ovector[nn];
-    expand_nlength[expand_nmax++] = ovector[nn+1] - ovector[nn];
+    expand_nstring[expand_nmax] = subject + ovec[nn];
+    expand_nlength[expand_nmax++] = ovec[nn+1] - ovec[nn];
     }
   expand_nmax--;
   }
     }
   expand_nmax--;
   }
@@ -8606,6 +8753,7 @@ debug_selector = D_v;
 debug_file = stderr;
 debug_fd = fileno(debug_file);
 big_buffer = malloc(big_buffer_size);
 debug_file = stderr;
 debug_fd = fileno(debug_file);
 big_buffer = malloc(big_buffer_size);
+store_init();
 
 for (int i = 1; i < argc; i++)
   {
 
 for (int i = 1; i < argc; i++)
   {