用途
Perl Security Patterns 是一套面向 Perl 应用程序的综合安全指南，聚焦输入校验、注入防护与安全编码实践。它适用于在处理用户输入、构建 Perl Web 应用、审查 Perl 代码安全漏洞、以用户提供的路径进行文件操作、从 Perl 执行系统命令、以及编写 DBI 数据库查询等场景中启用。
其整体思路是：从污点感知的输入边界开始，逐步向外扩展——校验并去污（untaint）输入，约束文件系统与进程执行，并在所有位置使用参数化 DBI 查询。在交付任何接触用户输入、shell 或网络的 Perl 代码之前，先应用这些安全默认做法。
主要能力
污点模式
Perl 的污点模式（-T）跟踪来自外部来源的数据，并阻止其在未经显式校验的情况下用于不安全操作。来自程序外部的内容（如 @ARGV、%ENV、STDIN、QUERY_STRING）均被视为污点数据。启用污点模式后需尽早清理 PATH，并删除 IFS、CDPATH、ENV、BASH_ENV 等环境变量。去污应使用具体正则捕获并返回 $1；过度宽松的去污（如 /^(.*)$/s）等于没有防护。
输入校验
主张白名单而非黑名单：明确定义允许的内容（如允许的排序字段集合、具体正则模式）。黑名单总是不完整的，会遗漏编码后的攻击。同时应设置长度约束（例如评论非空且不超过 10000 字符）。校验函数示例包括用户名、文件名、邮箱、整数等。
安全正则表达式
防止 ReDoS（灾难性回溯），避免在重叠模式上使用嵌套量词（如 ^(a+)+$、^([a-zA-Z]+)*$）。改写为单一量词，或使用占有量词（++）与原子组（(?>...)）阻止回溯；也可对不可信模式施加超时（使用 POSIX alarm）。
安全文件操作
使用三参数 open、词法文件句柄并检查返回值；避免两参数 open（用户数据可能触发命令执行或 shell 元字符注入）。在文件创建中使用 sysopen 配合 O_CREAT | O_EXCL 实现原子创建，防止 TOCTOU。校验路径是否位于允许目录内（结合 File::Spec、Cwd::realpath 做真实路径比对）以阻止路径穿越。临时文件使用 File::Temp（tempfile(UNLINK => 1)），并用 flock(LOCK_EX) 防竞态。
安全进程执行
使用列表形式的 system 和 exec，避免 shell 插值；示例中通过 run_command('grep', '-r', $user_pattern, '/var/log/app/') 调用。捕获输出可使用 IPC::Run3 或 Capture::Tiny。避免字符串形式的 system 和带插值的反引号，以防 shell 注入。
SQL 注入防护
始终使用 DBI 占位符（?）与 execute 传参，切勿在 SQL 中做字符串插值。动态列名/排序方向需先经允许列表校验。使用 DBIx::Class 等 ORM 可生成安全的参数化查询，示例包含 search 条件、order_by 与 rows 限制。
Web 安全
- XSS 防护：按上下文编码输出，HTML 使用 HTML::Entities::encode_entities()，URL 使用 URI::Escape::uri_escape_utf8()，JSON 使用 JSON::MaybeXS::encode_json()；模板自动转义（Mojolicious 的 <%= %>、Template Toolkit 的 | html）为安全方式，<%== %> 原始输出仅用于可信内容。
- CSRF 防护：使用 Crypt::URandom 生成 32 字节随机令牌并以 MIME::Base64 编码，校验时使用常量时间比较；多数框架已内置 CSRF 防护，优先使用。
- 会话与响应头：配置 secrets、sessions->secure(1)（仅 HTTPS）、SameSite；设置 X-Content-Type-Options、X-Frame-Options、Content-Security-Policy、Strict-Transport-Security 等响应头。
CPAN 模块安全
在 cpanfile 中固定版本（如 requires 'DBI', '== 1.643'）；优先使用仍在维护的模块（查看 MetaCPAN 近期发布）；尽量减少依赖以缩小攻击面。
安全工具
提供 .perlcriticrc 安全策略配置，包括要求三参数 open、检查系统调用返回值、禁止字符串 eval、禁止反引号、CGI 要求污点检查、禁止两参数 open、禁止裸字文件句柄等。附 perlcritic 运行命令，可用于单文件、整个项目及 CI 集成。
使用方式
按照文档给出的模式编写 Perl 代码：在 CGI/Web 脚本启用 -T 污点模式；对输入使用白名单校验与长度限制；文件操作使用三参数 open 与路径穿越检查；进程执行使用列表形式；数据库查询使用 DBI 占位符；HTML 输出使用 encode_entities() 或模板自动转义；生成并校验 CSRF 令牌；配置会话 Cookie 与 HTTP 安全头；固定依赖版本；避免危险正则；错误信息不向用户泄露堆栈或路径。可使用 perlcritic 配合安全主题进行静态检查。文档末尾提供速查清单（逐项列出检查点与验证内容）以及反模式列表（两参数 open、字符串形式 system、SQL 插值、eval 用户输入、未清理的 $ENV、惰性去污、HTML 中原始用户数据、未校验的重定向等）。
适用场景
- 处理用户输入的 Perl 应用
- 构建 CGI、Mojolicious、Dancer2、Catalyst 等 Perl Web 应用
- 审查 Perl 代码中的安全漏洞
- 以用户提供的路径执行文件操作
- 从 Perl 执行系统命令
- 编写 DBI 数据库查询
限制
现有资料未提供该技能的安装命令、版本号、授权方式、收费与价格信息、平台支持范围及性能或效果数据，这些内容暂未提供。