Решение

• Воспользуйтесь режимом пометки (флаг -Т в строке #!).
• Не снимайте пометку с данных (см. ниже).
• Проверяйте все, в том числе возвращаемые значения всех элементов формы, даже скрытые элементы и значения, сгенерированные кодом JavaScript. Многие наивно полагают — раз они приказали JavaScript проверить значения полей формы перед отправкой данных, то значения действительно будут проверены. Ничего подобного. Пользователь может тривиально обойти ограничения — запретить JavaScript в своем броузере, загрузить форму и модифицировать JavaScript или общаться на уровне HTTP без броузера.
• Проверяйте значения, возвращаемые системными функциями.
• Помните о возможности перехвата (см. ниже).
• Используйте флаг -w и директиву use strict, чтобы застраховаться от неправильных допущений со стороны Perl.
• Никогда не запускайте сценарий со сменой прав, если только это не вызвано абсолютной необходимостью. Подумайте, не будет ли достаточно сменить идентификтор группы. Любой ценой избегайте запуска с правами администратора. Если вам приходится использовать setuid или setgid, используйте командный интерпретатор, если только на вашей машине нельзя безопасно запускать сценарии Perl с setuid и вы точно знаете, что это такое.
• Всегда шифруйте пароли, номера кредитных карт, номера социального страхования и все остальное, что обычно не печатается на первых страницах местных газет. При работе с такими данными следует использовать безопасный протокол SSL.

Комментарий

#!/usr/bin/perl -Т
open(FH, "> $ARGV[0]") or die;

Insecure dependency in open while running with -T switch at ...

$file = $ARGV[0];                       # $file помечена
unless ($file =~ m#^([\w.-]+)$#) {      # С $1 снята пометка
  die "filename '$file' has invalid haracters.\n";
}
$file = $1;                             # С $file снята пометка 

unless (-e $filename)  {        # НЕВЕРНО!
  open(FH, "> $filename");
  # ...
}

См. также