perl-security

perl-security 技能概覽

perl-security 的用途

perl-security 是一個實用指南，用來撰寫與審查 Perl 程式碼，盡量減少注入與資料處理上的錯誤。當你需要用到 perl-security 技能來做 Security Audit、在強化 web app，或是在確認使用者可控資料是否可能不安全地流向 shell、檔案系統、SQL 或 HTML 輸出時，它最有用。

它幫你判斷什麼

當你的目標是從「這段 Perl 程式能跑」進一步走到「這段 Perl 程式可以安全上線」時，這項技能最有力。它聚焦於 Perl 應用最常在安全審查中失分的地方：taint mode、輸入驗證、安全的程序執行、DBI placeholders，以及像 XSS、SQLi、CSRF 這類 web 層防護。

為什麼它不同於一般提示詞

一般提示詞可能只會提到「secure Perl」，但 perl-security 會提供具體的安全工作流程：先從 aware of taint 的邊界開始，盡早約束不可信資料，並優先使用安全預設值，而不是臨時補洞。這讓 perl-security 在稽核、程式碼審查與修補規劃上更可靠。

如何使用 perl-security 技能

安裝並找到核心指引

先透過你的 skills manager 使用 perl-security install 流程，然後先打開 skills/perl-security/SKILL.md。如果你在確認這個技能的定位，請先把頂部整段讀完，再跳到範例；activation criteria 和 taint 說明會告訴你它到底什麼時候真正適用。

把模糊需求改寫成有用的提示詞

給技能的資訊要包含程式碼路徑、framework 與風險面，而不只是「幫我把這個弄安全」。比較好的輸入像是：「審查這個 Mojolicious route：它會讀取 param('file')、執行 shell command，並寫入 DBI；請指出 taint 問題、不安全的 exec 用法，以及 placeholders 是否正確使用。」這會比「幫我 audit 我的 Perl app」有價值得多。

用對工作流程

要讓 perl-security usage 發揮最好效果，請要求分階段審查：先找出不可信輸入，再追蹤資料流向，最後列出具體修正。當你想用 Security Audit 的角度來看程式時，這項技能特別有效，因為它能幫你區分真正可利用的攻擊路徑與單純的風格問題。如果你的程式完全不碰使用者輸入、shell、檔案或 SQL，這項技能多半就是過度使用。

依正確順序閱讀 repository

先讀 SKILL.md，再視情況查看有連結的範例或鄰近的 repo context。如果這個 repository 沒有額外的支援資料夾可依賴，真正的價值就來自仔細閱讀技能文字，並把它套用到你的目標 codebase，而不是期待還有一套更大的規則集。

perl-security 技能 FAQ

perl-security 只適合稽核嗎？

不是。perl-security 技能適合稽核，也適合安全功能開發、重構，以及發佈前檢查。當你想在 review 之前先防住常見的 Perl 安全問題時，它最有價值。

它能取代人工 code review 嗎？

不能。它會把注意力集中在 taint 邊界、不安全的程序呼叫與 DBI 用法上，讓 review 更有效，但你仍然需要確認你的應用實際如何處理輸入、部署 flags，以及 framework 行為。

這個技能適合初學者嗎？

適合，前提是你看得懂 Perl，並且能跟著安全檢查清單操作。這個技能重點在紀律化思考，而不是高深的密碼學。初學者最能受益的方式，是一次只請它處理一個有限範圍的任務，例如「檢查這個檔案有沒有不安全的命令執行」。

什麼情況下不該用？

如果你不處理外部輸入，或你的任務和 Perl 安全無關，就先不要用。若需求是格式整理、商業邏輯，或一般 Perl 語法問題，安全導向的技能只會增加雜訊，幫不上忙。

如何提升 perl-security 技能

把精確的信任邊界告訴技能

最大的品質提升來自於指出資料進入系統的位置：CLI args、CGI params、headers、檔案、environment variables，或 database content。只有當你明確標示來源與 sink，perl-security 才能對安全性做出準確判斷。

要求攻擊路徑，不只是修補方式

更好的 perl-security guide 請求會同時要求風險與修補方式。例如：「說明這裡的 system、反引號，或插值 SQL 可能如何被濫用，然後改寫成安全替代方案。」這樣產出的內容會比單純的「把這段 code 弄安全」更可操作。

提供 framework 與 runtime 限制

請明確說明你使用的是 Mojolicious、Dancer2、Catalyst、CGI，或是純 Perl，並且 taint mode 是否已啟用。這些細節會改變安全修正的樣子，也能避免建議和你的部署模式互相衝突。

在第一次回答後繼續迭代

如果第一次的結果太廣，就把範圍縮小到單一類問題：input validation、檔案處理、shell execution，或 DBI queries。最好的 perl-security 結果通常來自簡短的追問，要求精確的 code changes、更安全的模式，以及對同一個檔案再做一次檢查。