ECC/docs/ja-JP/rules/perl/security.md

paths
**/*.pl **/*.pm **/*.t **/*.psgi **/*.cgi

Perl セキュリティ

このファイルは common/security.md を Perl 固有のコンテンツで拡張します。

汚染モード

• すべての CGI/Web 向けスクリプトで -T フラグを使用する
• 外部コマンド実行前に %ENV（$ENV{PATH}、$ENV{CDPATH} など）をサニタイズする

入力検証

• アンテイントには許可リスト正規表現を使用する — /(.*)/s は絶対に使用しない
• すべてのユーザー入力を明示的なパターンで検証する:

if ($input =~ /\A([a-zA-Z0-9_-]+)\z/) {
    my $clean = $1;
}

ファイル I/O

• 3引数 open のみ — 2引数 open は使用しない
• Cwd::realpath でパストラバーサルを防止する:

use Cwd 'realpath';
my $safe_path = realpath($user_path);
die "Path traversal" unless $safe_path =~ m{\A/allowed/directory/};

プロセス実行

• リスト形式の system() を使用する — 単一文字列形式は使用しない
• 出力キャプチャには IPC::Run3 を使用する
• 変数補間付きのバッククォートは使用しない

system('grep', '-r', $pattern, $directory);  # 安全

SQL インジェクション防止

常に DBI プレースホルダを使用する — SQL に補間しない:

my $sth = $dbh->prepare('SELECT * FROM users WHERE email = ?');
$sth->execute($email);

セキュリティスキャン

perlcritic をセキュリティテーマで重大度 4 以上で実行する:

perlcritic --severity 4 --theme security lib/

リファレンス

スキル: perl-security で包括的な Perl セキュリティパターン、汚染モード、安全な I/O を参照してください。