affaan-m/perl-security

全面的 Perl 安全实践，涵盖污染模式、输入验证、安全的进程执行、DBI 参数化查询、Web 安全（XSS/SQLi/CSRF）以及 perlcritic 安全策略。在审查 Perl 输入处理、进程执行、DBI 查询或面向 Web 的代码时适用。

编程协作开发 Agent Agent 技能调研 Perl 安全审计输入验证 SQL 注入防护 Web 安全防护安全编码规范

技术栈: cursor24万+许可证: MIT开发者: affaan-m

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

Perl Security Patterns

Comprehensive security guidelines for Perl applications covering input validation, injection prevention, and secure coding practices.

When to Activate

Handling user input in Perl applications
Building Perl web applications (CGI, Mojolicious, Dancer2, Catalyst)
Reviewing Perl code for security vulnerabilities
Performing file operations with user-supplied paths
Executing system commands from Perl
Writing DBI database queries

How It Works

Start with taint-aware input boundaries, then move outward: validate and untaint inputs, keep filesystem and process execution constrained, and use parameterized DBI queries everywhere. The examples below show the safe defaults this skill expects you to apply before shipping Perl code that touches user input, the shell, or the network.

Taint Mode

Perl's taint mode (-T) tracks data from external sources and prevents it from being used in unsafe operations without explicit validation.

Enabling Taint Mode

#!/usr/bin/perl -T
use v5.36;

# Tainted: anything from outside the program
my $input    = $ARGV[0];        # Tainted
my $env_path = $ENV{PATH};      # Tainted
my $form     = <STDIN>;…

以下为摘要预览，完整内容请查看 GitHub 原文。

Perl 安全模式

针对 Perl 应用的全面安全指南，涵盖输入验证、注入防御与安全编码实践。

何时启用

在 Perl 应用中处理用户输入
构建 Perl Web 应用（CGI、Mojolicious、Dancer2、Catalyst）
审查 Perl 代码中的安全漏洞
使用用户提供路径进行文件操作
从 Perl 中执行系统命令
编写 DBI 数据库查询

工作原理

从支持污染追踪的输入边界开始，然后向外扩展：验证并清除输入污染，将文件系统与进程执行限制在受控范围内，并在所有地方使用参数化的 DBI 查询。下面的示例展示了在交付任何接触用户输入、Shell 或网络的 Perl 代码之前，本技能期望你应用的安全默认值。

污染模式

Perl 的污染模式（-T）会追踪来自外部来源的数据，并在未经过显式验证的情况下阻止其在不安全操作中使用。

启用污染模式

#!/usr/bin/perl -T
use v5.36;

# 被污染：任何来自程序外部的数据
my $input    = $ARGV[0];        # 被污染
my $env_path = $ENV{PATH};      # 被污染
my $form     = <STDIN>;         # 被污染
my $query    = $ENV{QUERY_STRING}; # 被污染

# 尽早清理 PATH（在污染模式下必需）
$ENV{PATH} = '/usr/local/bin:/usr/bin:/bin';
delete @ENV{qw(IFS CDPATH ENV BASH_ENV)};

清除污染的模式

use v5.36;

# 正确：使用特定正则进行验证并清除污染
sub untaint_username($input) {
    if ($input =~ /^([a-zA-Z0-9_]{3,30})$/) {
        return $1;  # $1 已清除污染
    }
    die "Invalid username: must be 3-30 alphanumeric characters\n";
}

# 正确：验证并清除文件路径的污染
sub untaint_filename($input) {
    if ($input =~ m{^([a-zA-Z0-9._-]+)$/}) {
        return $1;
    }
    die "Invalid filename: contains unsafe characters\n";
}

# 错误：过于宽松的清除污染（违背了污染模式的初衷）
sub bad_unt…

重要提示：源文件不在本站托管，请通过 GitHub 查看与下载。

索引更新于 8/25/2026, 9:18:05 PMGitHub ↗

SKILL.md13.5 KB在 GitHub 查看 ↗