<编者按：不要让 CGI 担上“世界上最流行的安全漏洞”的名声。 Nathan将教给你如何使用Perl的内部安全机制。>
本月的专栏将介绍Perl的称为“tainting”的内部安全机制，它可以让Perl捕捉到任何可能导致安全性问题的系统调用。我强烈推荐在你的所有CGI程序中打开“tainting”机制。
CGI使得互联网上的任何人都可以在你的计算机上运行程序，这就使得CGI成为世界上最流行的安全漏洞。作为程序员，我们的责任是不让坏人侵入我们的系统，对于我们所编制的程序来说，要做到没有漏洞可钻。
例如，下面这个CGI程序，就是个坏程序：
|
#!/usr/bin/perl -w
# cgi-bad – 一个不好的cgi 脚本的例子
...
$file = param("FILE")
or die "Must fill out the FILE
field
";
unlink("/usr/local/public/data/$file")
or die "Can't delete $file : $!
";
|
该脚本所做的是读出在表单中所输入的文件名，并从目录/usr/local/public/data/中删除该名称的文件。错了！该脚本所做的实际上是让任何用户对在网络服务器上usercode可以删除的任何文件作删除操作。请看：
|
% setuid-bad ../../etc/apache/var/userdb
|
天哪！那里是用户数据库！
我们本来要做的是检查程序的参数，以确定其是否为文件名。问题是你的程序外部所产生的数据用到了系统调用上，如nlink()， open()，和system()。而你并不打算让在你的程序之外产生的数据影响到外部世界。
Perl有个选项，打开后，可以强迫你检查常数，环境，输入，或其它有可能被不怀好意的人利用的漏洞。该选项称为“tainting”
