⬆️ Update music-assistant-models to 1.1.93 (#3047)

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>

Add update frontend PWA to release action

Radio Paradise. Switch to simple API (#3046)

Switch to simple API

Implement Apple Music playlist browsing with folders (#3008)

* Implement Apple Music playlist browsing with folders

* Update music_assistant/providers/apple_music/__init__.py

Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com>
* Separate browse logic and handle catalog/library edge cases

* Resolve copilot feedback

* Revert & repair get_playlist

---------

Co-authored-by: Marvin Schenkel <marvinschenkel@gmail.com>
Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com>

Adds date_added field to Tidal provider (#2969)

* feat: adds date_added to tidal provider

* applied copilot suggestions

* Update snapshot

---------

Co-authored-by: FL550 <glacial0124@posteo.com>

Don't force reload on all config changes (#3045)

Chore(deps): Bump docker/login-action from 3.6.0 to 3.7.0 (#3044)

Bumps [docker/login-action](https://github.com/docker/login-action) from 3.6.0 to 3.7.0.
- [Release notes](https://github.com/docker/login-action/releases)
- [Commits](https://github.com/docker/login-action/compare/v3.6.0...v3.7.0)

---
updated-dependencies:
- dependency-name: docker/login-action
  dependency-version: 3.7.0
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>

Use streams server bind ip as spotify connect zeroconf bind interface (#3042)

Fix not being able to ungroup dynamic group members (#3040)

Fix not being able to ungroup dynamic group members.

Fix Sqeezelite playing next enqueued song after announcement. (#3039)

Add Yandex Music provider (#3002)

* Add Yandex Music provider

Implement a new music provider for Yandex Music streaming service using the
unofficial yandex-music-api library. Features include:

- Library sync (artists, albums, tracks, playlists)
- Library editing (add/remove tracks, albums, artists)
- Search across all media types
- Artist albums and top tracks
- HTTP streaming with quality selection (320kbps MP3 / FLAC)
- Token-based authentication

Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com>
* Fix Yandex Music provider config entries

Remove duplicate token field that was causing the Save button to remain
disabled during provider setup.

Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com>
* Fix Yandex Music provider based on PR review feedback

- Move SUPPORTED_FEATURES to __init__.py and pass to setup()
- Remove code duplication in get_config_entries
- Remove label_instructions (use documentation instead)
- Replace RuntimeError with ProviderUnavailableError
- Replace generic Exception catches with InvalidDataError
- Remove non-existent AlbumType.PODCAST
- Fix audio_format to respect quality config setting (MP3/FLAC)

Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com>
* Add yandex-music to requirements_all.txt

Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com>
* Update manifest.json

* Improve Yandex Music provider based on PR review

- Use ContentType.UNKNOWN for unknown codecs instead of assuming MP3
- Add PLAYLIST_ID_SPLITTER constant and remove unused cache TTL constants
- Optimize search to use specific type when only one media type requested
- Remove unused imports

Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com>
* Fix mypy type errors in Yandex Music provider

- Add cast for users_playlists_list return type in api_client.py
- Add type annotations for _select_best_quality method in streaming.py
- Convert quality config value to str | None before passing to method
- Remove non-existent MediaItemMetadata attributes (track_count, has_lyrics)
- Use spread operator instead of append for Sequence types in search results

Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com>
* Enable CI workflow for feature branches

Allow test workflow to run on feature/* branches to validate changes
before pushing to upstream PR.

Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com>
* Fix ruff TC006 error - use list() instead of cast()

Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com>
* Remove CI workflow changes unrelated to Yandex Music provider

Reverts changes to .github/workflows/test.yml as requested in PR review.

Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com>
* Add Yandex Music provider icons

Co-Authored-By: Claude Opus 4.5 <noreply@anthropic.com>
* Update music_assistant/providers/yandex_music/manifest.json

Co-authored-by: OzGav <gavnosp@hotmail.com>
---------

Co-authored-by: Михаил Невский <renso@MacBook-Pro-Mihail.local>
Co-authored-by: Claude Opus 4.5 <noreply@anthropic.com>
Co-authored-by: Marvin Schenkel <marvinschenkel@gmail.com>
Co-authored-by: OzGav <gavnosp@hotmail.com>

Fix IndexError when Deezer track has no media available (#3038)

Raise MediaNotFoundError instead of crashing with IndexError when the
Deezer API returns an empty media list. This allows the player queue
to gracefully skip unavailable tracks instead of stopping playback.

Fixes music-assistant/support#4860

Add JWT-based authentication with backward compatibility (#2891)

* Add JWT-based authentication with backward compatibility

Migrates from hash-based tokens to JWT (JSON Web Tokens) while maintaining
full backward compatibility with existing tokens. This enables stateless
authentication with embedded user claims for better integration with
external systems and OAuth2/OIDC compliance.

JWT Claims Structure:
- Standard claims: sub (user_id), jti (token_id), iat, exp
- Custom claims: username, role, player_filter, provider_filter,
  token_name, is_long_lived

Token Types:
- Short-lived (30 days, auto-renewing on use, sliding window)
- Long-lived (10 years, no auto-renewal for API integrations)

Implementation:
- JWTHelper class for encoding/decoding with HS256 algorithm
- JWT secret key generated and stored in auth.db settings table
- Token verification tries JWT first, falls back to legacy hash lookup
- Database still stores tokens for revocation checking

Benefits:
- Stateless authentication (user info embedded in token)
- Permission scopes available without database lookup
- OAuth2/OIDC compatibility for external integrations
- Standard JWT format for third-party verification

Migration Strategy:
- Automatic: Old tokens work until expiration
- New logins get JWT tokens automatically
- No breaking changes for existing clients

* Fix JWT token expiration check to honor database expiration

Database expiration is the source of truth for token validity, not just
the JWT expiration claim. This ensures manual token expiration (via
database update) works correctly even when JWT exp is still valid.

* Add documentation for future OIDC support

Notes on consuming external OIDC vs acting as OIDC provider, and
refresh token requirements for the latter.

* Clean up JWT implementation: remove dead code and verbose comments

- Remove unused methods: refresh_short_lived_token(), get_user_from_token()
- Remove unused imports: timedelta, UserRole
- Move User import to TYPE_CHECKING block
- Remove TODO comment about refresh tokens (not implementing)
- Simplify inline comments and reduce verbosity
- All tests still passing (36/36)

* Remove player_filter and provider_filter from JWT claims

These values can be dynamically updated, so storing them in the token
would result in stale data. The current values are available from the
database lookup during token validation.

---------

Co-authored-by: Ztripez von Matérn <ztripez@bobby.se>

Raise AudioException if ffmpeg encounters a demuxing error (#3035)

⬆️ Update music-assistant-frontend to 2.17.76 (#3036)

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>

Fix Sonos looping announcements (#3032)

Fix Sonos looping announcements.

⬆️ Update music-assistant-frontend to 2.17.75 (#3033)

Co-authored-by: MarvinSchenkel <17671719+MarvinSchenkel@users.noreply.github.com>

Don't filter unavailable player configs by default (#3031)

* Don't filter unavailable player configs by default

* Add additional param to filter out disabled players

Fix player sources in Sonos S1 (#3030)

* Set active source to Line in source when selected.

* Add PlayerSources for S1.

* Add PlayerSources for S1.

* Disable media when linein is active. Switch back to MA on stop.

Chore(deps): Bump alexapy from 1.29.14 to 1.29.15 (#3022)

* Chore(deps): Bump alexapy from 1.29.14 to 1.29.15

Bumps [alexapy](https://gitlab.com/keatontaylor/alexapy) from 1.29.14 to 1.29.15.
- [Release notes](https://gitlab.com/keatontaylor/alexapy/tags)
- [Changelog](https://gitlab.com/keatontaylor/alexapy/blob/dev/CHANGELOG.md)
- [Commits](https://gitlab.com/keatontaylor/alexapy/compare/v1.29.14...v1.29.15)

---
updated-dependencies:
- dependency-name: alexapy
  dependency-version: 1.29.15
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>
* Also bump the provider manifest.

---------

Signed-off-by: dependabot[bot] <support@github.com>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>
Co-authored-by: Marvin Schenkel <marvinschenkel@gmail.com>

Chore(deps): Bump py-opensonic from 8.0.1 to 8.1.1 (#3023)

* Chore(deps): Bump py-opensonic from 8.0.1 to 8.1.1

Bumps [py-opensonic](https://github.com/khers/py-opensonic) from 8.0.1 to 8.1.1.
- [Release notes](https://github.com/khers/py-opensonic/releases)
- [Changelog](https://github.com/khers/py-opensonic/blob/master/CHANGELOG.md)
- [Commits](https://github.com/khers/py-opensonic/compare/v8.0.1...v8.1.1)

---
updated-dependencies:
- dependency-name: py-opensonic
  dependency-version: 8.1.1
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>
* Also bump the provider manifest.

---------

Signed-off-by: dependabot[bot] <support@github.com>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>
Co-authored-by: Marvin Schenkel <marvinschenkel@gmail.com>

YTMusic: Implement more aggressive caching (#3029)

* Implement more aggresive caching for YTM.

* Cleanup.

⬆️ Update music-assistant-frontend to 2.17.74 (#3028)

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>

Fix players unavailable of cast and bluesound provider (#3027)

Auto whitelist sendspin webplayer (jnstead of modifying player fiter) (#3026)

cleanup redundant requires_flow_mode

Fix player lifecycle (enabling/disabling and config updates) (#3024)

Add fallback player config

Config handling improvements (#3021)

⬆️ Update music-assistant-models to 1.1.92 (#3019)

* ⬆️ Update music-assistant-models to 1.1.92

* tweak

---------

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>
Co-authored-by: Marcel van der Veldt <m.vanderveldt@outlook.com>

Sqeezelite: Only use low latency threshold values when a plugin is active (#3018)

Only use low latency threshold values when a plugin is active.

Add AAC/M4A support to tag parsing (#3004)

Fix AAC/M4A tag parsing in parse_tags_mutagen

Add comprehensive MP4/AAC tag parsing support to the mutagen fallback parser.
Previously only ID3 tags were handled, leaving M4A/AAC files with missing metadata.

Changes:
- Add _parse_mp4_tags() function to handle MP4Tags format
- Support basic tags: title, artist, album, albumartist, genre
- Support sort tags: titlesort, artistsort, albumsort, albumartistsort
- Support MusicBrainz IDs via freeform tags (----:com.apple.iTunes:*)
- Support track/disc numbers with totals stored separately
- Support date, lyrics, compilation flag, album type, and ReplayGain tags
- Add helper functions for decoding MP4 freeform tags (bytes to strings)
- Add M4A test fixture and test_parse_metadata_from_mp4tags test

Co-authored-by: Claude <noreply@anthropic.com>

Increase cache for local playlist tracks (#3007)

* Increase cache for local playlist tracks + invalidate during sync.

* Deserialize Track data from cache

* Also handle memory cache

Fix linter for new models

Fix Pandora authentication failures (#2949)

* fix: Pandora auth token expiry during long listening sessions

Implemented automatic re-authentication mechanism for Pandora provider
to prevent auth token expiry during extended listening sessions.

- Added token expiration tracking with AUTH_TOKEN_LIFETIME (50 minutes)
- Added ensure_valid_auth() method to proactively re-authenticate before
  token expiration (with 5 minute buffer)
- Updated _api_request() to call ensure_valid_auth() before all API calls
- Added retry logic for 401 errors to handle reactive re-authentication

This follows the same pattern used by the Tidal provider for maintaining
valid authentication tokens during long-running sessions.

Fixes issue where users reported authentication expiring while listening
to Pandora stations.

* improvement: Check for explicit token expiry from Pandora API

Updated authentication to check if Pandora returns expiry information
(expiresIn or expires_in fields) and use it if available, rather than
always assuming a hardcoded lifetime.

- Checks for expiry fields in authentication response
- Uses actual expiry if provided by API
- Falls back to conservative 50-minute estimate if not
- Added logging to show which approach is being used

This makes the implementation more robust and will automatically adapt
if Pandora provides expiry information in their response.

* refactor: Switch to reactive-only auth handling for Pandora

Changed from proactive time-based re-authentication to reactive
401-error handling only. This is a better approach because:

1. User reports show auth failures occurring anywhere from 5 minutes
   to several hours, indicating it's NOT a simple token timeout
2. Proactive re-auth would mask the real issue and prevent diagnosis
3. Reactive handling will log actual failure patterns to help identify
   the root cause (concurrent logins, IP changes, rate limiting, etc.)

Changes:
- Removed AUTH_TOKEN_LIFETIME and AUTH_REFRESH_BUFFER constants
- Removed ensure_valid_auth() proactive check method
- Removed _auth_expires_at expiry tracking
- Added _auth_time to track when authentication occurred
- Enhanced 401 error handling to log how long tokens lasted
- Simplified to reactive-only approach: retry on 401 with fresh auth

This will help diagnose the actual cause of auth expiry issues while
still preventing playback interruption by automatically re-authenticating
when needed.

* chore: Change Pandora auth log messages to debug level

Changed authentication success and token expiry messages from info/warning
to debug level to reduce log noise for routine operations.

* chore: Remove diagnostic timing code from Pandora auth

Removed _auth_time tracking and associated debug logging that calculated
token lifetime. Fix is confirmed working, diagnostic code no longer needed.

* chore: Change authentication success log back to info level

* fix: Remove duplicate type annotation to fix mypy error

* fix: Handle network errors gracefully in Pandora stream handler

Added ProviderUnavailableError handling to _handle_stream_request to
prevent crashes when network errors (DNS timeouts, connection failures)
occur during fragment fetching.

- Wrapped all _get_fragment_data calls in try-except block
- Added ProviderUnavailableError exception handler
- Returns 503 Service Unavailable instead of crashing
- Logs error for diagnostics

* refactor: Use recursive retry pattern for Pandora auth failures

Refactored _api_request to use recursive call instead of duplicating
error handling code in retry block.

- Added 'retry: bool = True' parameter to _api_request
- On 401 error, re-authenticate and recursively call with retry=False
- Eliminates ~20 lines of duplicate error handling code
- Cleaner and more maintainable

Credit: @MarvinSchenkel for the suggestion

* fix: Add type annotation to satisfy mypy no-any-return check

* style: Remove superfluous else after return (RET505)

Fixed ruff linting error - removed unnecessary else clause after
return statement in retry logic.

---------

Co-authored-by: Claude <noreply@anthropic.com>

Add HEOS Player provider (#2986)

* Initial commit, ability to connect to a HEOS system and play URL

* Added more function handling

* Some code improvements, fix disconnection done too late

* Map music sources to inputs

* Make sure players are registered, even when they are marked as unavailable

* Build proper source list

* Keep internal heos reference in player

* Set dynamic attributes after player setup

* Implement grouping

* Grab group information when players are set up

* Handle group change events

* Build source list in provider

* Minor rearrangement

* Make sure player update event is cleaned up

* Some cleanup

* Remove some leftover logging

* Handle controller event in provider

* Split player updating into dedicated events

* Populate current_media when we're not playing

* Set sample rate configs

* Handle connection errors

* Temp troubleshooting commit

* Clean up some code and comments, adjusted some minor things

* Use fallbacks on mappings

* Disable player re-enabling for now

* Handle AUX inputs

* Handle player change event from HEOS

* address PR review comments

* Reduce safe max sample rate and bit depth for older devices

* Don't need to set credentials, unused right now

⬆️ Update music-assistant-models to 1.1.91 (#3016)

* ⬆️ Update music-assistant-models to 1.1.91

* Adjustments for models change

---------

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>
Co-authored-by: Marcel van der Veldt <m.vanderveldt@outlook.com>

Remove lock from regular player commands

Fix chime validation for player groups (#3013)

Fixes for the AirPlay provider (#3014)

Chore(deps): Bump actions/setup-python from 6.1.0 to 6.2.0 (#3010)

Bumps [actions/setup-python](https://github.com/actions/setup-python) from 6.1.0 to 6.2.0.
- [Release notes](https://github.com/actions/setup-python/releases)
- [Commits](https://github.com/actions/setup-python/compare/v6.1.0...v6.2.0)

---
updated-dependencies:
- dependency-name: actions/setup-python
  dependency-version: 6.2.0
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>

⬆️ Update music-assistant-frontend to 2.17.73 (#3012)

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>
Co-authored-by: Marvin Schenkel <marvinschenkel@gmail.com>

⬆️ Update music-assistant-models to 1.1.90 (#3011)

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>

Fix announcement for Sonos Play:1's (#3009)

fix(spotify_connect): ignore trailing sink event to prevent playback thrashing (#2976)

* fix(spotify_connect): ignore trailing sink event to prevent playback thrashing

The librespot daemon emits a trailing 'sink' event after disconnect.
MA was misinterpreting this as a new playback request, causing the
disconnecting player to immediately re-activate and steal the session back.

This adds a check to ignore 'sink' events if the session is not connected.

* Fix backport pipeline

---------

Co-authored-by: Marvin Schenkel <marvinschenkel@gmail.com>

SyncGroupPlayer: Inherit MULTI_DEVICE_DSP feature from group members (#2999)

* SyncGroupPlayer: Inherit MULTI_DEVICE_DSP feature from group members

* SyncGroupPlayer: use reference_player as variable name for the player to inherit the supported features from

fix: Add support for AAC streaming route for universal groups (#2990)

* Add support for AAC streaming route

* Add support for AAC audio format

Add a case to properly set to the audio format to AAC if the original format is AAC and the target format can't be determined from the player.

* Remove unnecessary special case for AAC

fix(Tidal): Remove unnecessary deduping of recomendation rows (#3006)

Add Spanish and Italian to Alexa language commands (#3005)

Update language commands

Co-authored-by: Sameer Alam <alams154@users.noreply.github.com>

⬆️ Update music-assistant-models to 1.1.89 (#3003)

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>

⬆️ Update music-assistant-frontend to 2.17.72 (#3001)

Co-authored-by: MarvinSchenkel <17671719+MarvinSchenkel@users.noreply.github.com>

Add 24 and 32-bit audio support for Sendspin (#2977)

* feat: add 32-bit audio and mono output support for sendspin

* refactor: remove mono output conversion for per-player streams

The mono rendering with aiosendspin upmixing added complexity
without clear benefit. Reverting to direct output format usage.

Plex connect: Improve queue loading performance (#2735)

* Plex connect: Improve queue loading performance

Start playback immediately with first track while loading remaining tracks
in background. This reduces perceived latency when playing queues from Plex.

Changes:
- Load and play first track immediately when queue is requested
- Fetch remaining tracks concurrently in background task
- Broadcast timeline update after first track starts

* Plex connect: applied copilot suggestion

Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com>
* Plex connect: fixed task creation

* Plex Connect: added await clause on line 715

---------

Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com>
Co-authored-by: Marvin Schenkel <marvinschenkel@gmail.com>

Fix linter

Add RET505 mypy rule (#2962)

Revert "use instance_id instead of domain on provider level logging" (#3000)

Revert "use instance_id instead of domain on provider level logging (#2943)"

This reverts commit 7af16a90d8640bb4c0409a73237b9c64b7c2817c.

Bump aiosendspin to 3.0 (#2924)

* Bump aiosendspin to 2.0

Adapt to breaking changes in aiosendspin:
- Change event listener callbacks from async to synchronous
- Change start_server advertise_host to advertise_addresses

* fix: handle client disconnect during pending unregister wait

Check if client still exists after waiting for pending unregister,
preventing player registration attempts for disconnected clients.

* chore(deps): bump aiosendspin to 3.0.0

---------

Co-authored-by: Maxim Raznatovski <nda.mr43@gmail.com>

Fix pre announce typing (#2998)

Also ignore ASYNC110 and N818

Add comment about ASYNC109 to project file

Chore(deps-dev): Bump ruff from 0.14.9 to 0.14.13 (#2995)

Bumps [ruff](https://github.com/astral-sh/ruff) from 0.14.9 to 0.14.13.
- [Release notes](https://github.com/astral-sh/ruff/releases)
- [Changelog](https://github.com/astral-sh/ruff/blob/main/CHANGELOG.md)
- [Commits](https://github.com/astral-sh/ruff/compare/0.14.9...0.14.13)

---
updated-dependencies:
- dependency-name: ruff
  dependency-version: 0.14.13
  dependency-type: direct:development
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>

Fix linter

orf radiothek provider (#2968)

* orf radiothek: Initial Commit

* orf radiothek: fixed duplicate super call

* orf radiothek: moved some config value to advanced category

* orf radiothek: renamed classes to helper, removed catchup day conf entry set it to 30 days flat

* orf radiothek: set stage to beta and corrected version

* orf radiothek: some more cleanup

* orf radiothek: fixed some code smells

* orf radiothek: move stream quality type to advanced

* Update music_assistant/providers/orf_radiothek/__init__.py

Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com>
---------

Co-authored-by: DButter <private@david-butter.com>
Co-authored-by: Marvin Schenkel <marvinschenkel@gmail.com>
Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com>

⬆️ Update music-assistant-frontend to 2.17.71 (#2991)

Co-authored-by: MarvinSchenkel <17671719+MarvinSchenkel@users.noreply.github.com>

Audiobookshelf: Use a direct stream if configured with an API token. (#2989)

* do not take internal web server detour for API key users

* add debugging messages

Merge branch 'dev' of https://github.com/music-assistant/server into dev

Apply explicit permissions to pr-labels workflow

fix(alexa): Fix issue with language on alexa skills for french and germany (#2982)

Co-authored-by: Valentin Lacour <vlacour@sweeek.com>

Update old template references + other cleanups (#2928)

* Update old template references + other cleanups

(also some reformatting and a note about how to run a separate development server)

* Update instructions around setting server port

* Remove notes on setting a custom port

Add SomaFM Radio provider (#2981)

* SomaFM provider initial release

* Polish playlist parsing per PR points (and remove MP3 format config)

Use bind ip of the stream server for Sendspin url (#2930)

Prevent duplicate airplay player creation leaving player in invalid state (#2955)

Maintenance for security related fixes (#2983)

⬆️ Update music-assistant-frontend to 2.17.70 (#2987)

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>

use instance_id instead of domain on provider level logging (#2943)

* use instance id instead of domain in logging

* feedback

Do not report progress on ffmpeg streaming error  (#2973)

* do not report progress if there was a streaming error

* Update music_assistant/controllers/player_queues.py

Co-authored-by: Marcel van der Veldt <m.vanderveldt@outlook.com>
---------

Co-authored-by: Marcel van der Veldt <m.vanderveldt@outlook.com>

Fix backport pipeline

Add SECURITY.MD

Make pre-commit configuration cross-platform compatible using uv (#2971)

chore: update pre-commit hooks and enforce LF line endings

- Add configuration to enforce LF line endings for all text files.
- Update pre-commit hooks to use `uv run` instead of `scripts/run-in-env.sh` and reorder `gen_requirements_all` to run first.
- Uses LF line endings in gen_requirements_all.

Add Bandcamp Music Provider (#2871)

* bandcamp

* mypy, ruff

* fix provider stream details tests

* fix eol for icons

* final touch

* bump bandcamp-async-api to 0.0.3

* add BandcampMustBeLoggedInError support

- bump bandcamp-async-api to 0.0.4

* fix: PR review

- is_streaming_provider is now True
- catching and raising exceptions revamp
- remove redundant stream content type

* requirements_all.txt line endings

* fix: Add error handling for missing streaming links in BandcampProvider.

- Add error handling for missing streaming links in BandcampProvider.
- Enhance error handling and update test assertions for Bandcamp provider.

* fix: typing

* minor: specify the exact cookie name

* PR review fixes

- Remove search limit configuration.
- CONF_TOP_TRACKS_LIMIT moved to advanced config category
- Update test to use `DEFAULT_TOP_TRACKS_LIMIT` constant.

* PR review: reintroduced search limit, set it to 50

Fallback to stream.url if url_resolved is missing (#2972)

Updated the RadioBrowserProvider to use stream.url as a fallback for the path if stream.url_resolved is not available. This ensures that a valid stream path is always provided.

⬆️ Update music-assistant-frontend to 2.17.69 (#2975)

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>

Add RET507 mypy rule (#2961)

Add metadata support to HLS streams (#2867)

* Add metadata support to HLS streams

* Use callback

* Remove unnecessary parameter

Audible: Add podcast support and browse by author/series/narrator (#2881)

* Fix Audible authentication for new API token format

- Add compatible token refresh handling for new actor_access_token format
- Validate signing auth availability (preferred, stable auth method)
- Accept multiple authorization code parameter names in callback URL
- Improve error handling and diagnostic messages

* Add podcast support to Audible provider

Implement podcast library sync and playback for Audible Plus content:
- Add LIBRARY_PODCASTS to supported features
- Implement get_library_podcasts() to fetch podcast series
- Implement get_podcast() for full podcast details
- Implement get_podcast_episodes() and get_podcast_episode()
- Add podcast and episode parsing functions
- Update get_stream() to handle podcast episodes (Mpeg drm_type)

Podcasts in Audible use "PodcastParent" content_delivery_type for series.
Episodes are fetched via the parent_asin relationship.
Podcast episodes use non-DRM MP3 streaming (drm_type: "Mpeg").

* Add browse support for authors, series, narrators, genres, publishers

Implement custom browse functionality to navigate audiobooks by:
- Authors: Browse all authors, see audiobooks sorted by release date (newest first)
- Series: Browse all series, see books in order (by sequence number)
- Narrators: Browse all narrators, see audiobooks sorted by release date
- Genres: Browse all genres, see audiobooks sorted by release date
- Publishers: Browse all publishers, see audiobooks sorted by release date

The base audiobooks/podcasts paths fall back to the parent implementation.
Data is extracted from the library API response.

* Clean up Audible helper comments and docstrings

* Address review comments for Audible PR #2881

- Refactor pagination into _fetch_library_items
- Implement ACR caching to optimize position reporting
- Fix podcast parent fallback
- Handle special characters in browse paths
- Add unit tests for new logic

---------

Co-authored-by: Ztripez von Matérn <ztripez@bobby.se>

Chore(deps): Bump pillow from 12.0.0 to 12.1.0 (#2937)

Bumps [pillow](https://github.com/python-pillow/Pillow) from 12.0.0 to 12.1.0.
- [Release notes](https://github.com/python-pillow/Pillow/releases)
- [Changelog](https://github.com/python-pillow/Pillow/blob/main/CHANGES.rst)
- [Commits](https://github.com/python-pillow/Pillow/compare/12.0.0...12.1.0)

---
updated-dependencies:
- dependency-name: pillow
  dependency-version: 12.1.0
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>

⬆️ Update music-assistant-frontend to 2.17.68 (#2970)

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>

Fix content type for Sqeezelite multiclient streams (#2967)

Chore(deps): Bump alexapy from 1.29.10 to 1.29.14 (#2938)

* Chore(deps): Bump alexapy from 1.29.10 to 1.29.14

Bumps [alexapy](https://gitlab.com/keatontaylor/alexapy) from 1.29.10 to 1.29.14.
- [Release notes](https://gitlab.com/keatontaylor/alexapy/tags)
- [Changelog](https://gitlab.com/keatontaylor/alexapy/blob/dev/CHANGELOG.md)
- [Commits](https://gitlab.com/keatontaylor/alexapy/compare/v1.29.10...v1.29.14)

---
updated-dependencies:
- dependency-name: alexapy
  dependency-version: 1.29.14
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>
* Also bump provider manfiest

---------

Signed-off-by: dependabot[bot] <support@github.com>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>
Co-authored-by: Marvin Schenkel <marvinschenkel@gmail.com>

Chore(deps): Bump async-upnp-client from 0.46.0 to 0.46.2 (#2960)

* Chore(deps): Bump async-upnp-client from 0.46.0 to 0.46.2

Bumps [async-upnp-client](https://github.com/StevenLooman/async_upnp_client) from 0.46.0 to 0.46.2.
- [Release notes](https://github.com/StevenLooman/async_upnp_client/releases)
- [Changelog](https://github.com/StevenLooman/async_upnp_client/blob/development/CHANGES.rst)
- [Commits](https://github.com/StevenLooman/async_upnp_client/compare/0.46.0...0.46.2)

---
updated-dependencies:
- dependency-name: async-upnp-client
  dependency-version: 0.46.2
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>
* Also bump provider manifests

---------

Signed-off-by: dependabot[bot] <support@github.com>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>
Co-authored-by: Marvin Schenkel <marvinschenkel@gmail.com>

Fix issues with progress bar jumps and time overflow  (#2959)

* Progress

* Progress

* Fix duplicate playlog entries on stream restart

* Use model for queuetimeupdate

* Cleanup

* Update music_assistant/controllers/streams/streams_controller.py

Co-authored-by: Marcel van der Veldt <m.vanderveldt@outlook.com>
* Feedback

* Feedback

---------

Co-authored-by: Marcel van der Veldt <m.vanderveldt@outlook.com>

Bump base image for beta and stable

Pin `av` to 16.1.0 for sendspin provider (#2966)

chore(deps): pin `av` to 16.1.0 for sendspin provider

Bump base image for nightly

⬆️ Update music-assistant-frontend to 2.17.67 (#2964)

Co-authored-by: marcelveldt <6389780+marcelveldt@users.noreply.github.com>

Add method to move item to end of queue (#2929)

Add option to add backport label after the PR has been merged

Subsonic Scrobble: Fix Subsonic interactions after the async change (#2953)

The Subsonic provider is now using aiohttp making it unnecessary for us
to wrap calls to is in a new thread. Fix the scrobble plugin to use the
async library as well.

Signed-off-by: Eric B Munson <eric@munsonfam.org>

Add PTH202 mypy rule (#2932)

Add PTH107 mypy rule (#2933)