Perl Security

# Perlセキュリティパターン

入力バリデーション、インジェクション防止、セキュアコーディングプラクティスを網羅するPerlアプリケーションの包括的なセキュリティガイドライン。

## アクティベートするタイミング

- Perlアプリケーションでユーザー入力を処理するとき
- PerlのWebアプリケーション（CGI、Mojolicious、Dancer2、Catalyst）を構築するとき
- セキュリティ脆弱性についてPerlコードをレビューするとき
- ユーザー指定パスでファイル操作を実行するとき
- PerlからシステムコマンドをExecuteするとき
- DBIデータベースクエリを書くとき

## 仕組み

テイント対応の入力境界から始め、次に外側に移動する: 入力をバリデートしてアンテイントし、ファイルシステムとプロセス実行を制約内に保ち、どこでもパラメータ化されたDBIクエリを使用する。以下の例は、ユーザー入力、シェル、またはネットワークに触れるPerlコードをリリースする前に適用することが期待されるデフォルトを示す。

## テイントモード

Perlのテイントモード（`-T`）は外部ソースからのデータを追跡し、明示的なバリデーションなしに安全でない操作で使用されることを防ぐ。

### テイントモードの有効化

```perl
#!/usr/bin/perl -T
use v5.36;

# テイントされた: プログラム外からのもの
my $input    = $ARGV[0];        # テイントされた
my $env_path = $ENV{PATH};      # テイントされた
my $form     = <STDIN>;         # テイントされた
my $query    = $ENV{QUERY_STRING}; # テイントされた

# PATHを早期にサニタイズ（テイントモードで必要）
$ENV{PATH} = '/usr/local/bin:/usr/bin:/bin';
delete @ENV{qw(IFS CDPATH ENV BASH_ENV)};
```

### アンテイントパターン

```perl
use v5.36;

# Good: 特定の正規表現でバリデートしてアンテイント
sub untaint_username($input) {
    if ($input =~ /^([a-zA-Z0-9_]{3,30})$/) {
        return $1;  # $1はアンテイントされている
    }
    die "Invalid username: must be 3-30 alphanumeric characters\n";
}

# Good: ファイルパスをバリデートしてアンテイント
sub untaint_filename($input) {
    if ($input =~ m{^([a-zA-Z0-9._-]+)$}) {
        return $1;
    }
    die "Invalid filename: contains unsafe characters\n";
}

# Bad: 過度に許可的なアンテイント（目的を無効化する）
sub bad_untaint($input) {
    $input =~ /^(.*)$/s;
    return $1;  # 何でも受け入れる — 無意味
}
```