[> Смотри также--

Perlsec(iy, спецификации CGI и HTTP, а также список FAQ по безопасности CGI, упомянутые во введении этой главы; раздел Avoiding Denial of Service Attacks* в стандартной документации по модулю CGI; рецепт 19.6.

19.5. Повышение эффективности сценариев CGI

Проблема

От частых вызовов вашего сценария CGI снижается производительность сервера. Вы хотите уменьшить нагрузку, связанную с работой сценария.

Решение

Используйте модуль inod perl Web-сервера Apache и включите в файл httpd.conf следующую секцию;

Alias /рег1/ /real/path/to/perl/scnpts/

<Location /рег1> SetHandler perl-script PerlHandler Apache Registry Options ExecCGI </Location>

PerlModule Apache Registry PerlModule CGI PerlSendHeader On

Комментарий

Модуль mod perl Web-сервера Apache позволяет писать код Perl, который может выполняться на любой стадии обработки запроса. Вы можете написать свои собственные процедуры регистрации и аутентификации, определить виртуальные хосты и их конфигурацию и написать собственные обработчики для некоторых типов запросов.

Приведенный выше фрагмент сообщает, что URL, начинающиеся с /perl/, в действительности находятся в /real/path/to/perl/scripts и обрабатываются Apache::Registry. В результате они будут выполняться в среде CGI. Строка PerlModule CGI выполняет предварительную загрузку модуля CGI, а PerlSendHandler On позволяет большинству сценариев CGI работать с mod perl.

/реП/ работает аналогично /cgi-bm/. Чтобы суффикс .реН являлся признаком сценариев CGI mod perl, подобно тому, как суффикс .cgi является признаком обычных сценариев CGI, включите в конфигурационный файл Apache следующий фрагмент:

<Files * рег1> SetHandler perl-script

19.6. Выполнение команд без обращений к командному интерпретатору 681

PerlHandler Apache Registry

Options ExecCGI

</Files>

Поскольку интерпретатор Perl, выполняющий сценарий CGI, не выгружается из памяти при заверщении сценария (что обычно происходит, когда Web-сервер выполняет сценарий как отдельную программу), не следует полагаться на то, что при запуске программы глобальные переменные имеют неопределенные значения. Флаг -да и use st net проверяют многие недостатки в сценариях такого рода. Существуют и другие потенциальные ловущки - обращайтесь к странице руководства mod perl traps.

Не беспокойтесь о том, насколько снизится быстродействие Web-сервера от предварительной загрузки всех сценариев. Все равно когда-нибудь придется загружать их в память; желательно, чтобы это произошло до того, как Apache начнет плодить потомков. В этом случае каждый сценарий будет находиться в памяти в единственном экземпляре, поскольку в любой современной операционной системе потомки используют общие страницы памяти. Иначе говоря, предварительная загрузка только на первый взгляд увеличивает расходы памяти - на самом деле она их уменьшает!

Wo адресу http: www.perl.com/CPAN-local/modules/by-modules/Netscape/nsapi perl-0.24.tar.gz имеется интерфейс к серверу Netscape, который также повышает производительность за счет отказа от порождения новых процессов.

t> Смотри также-

Документация по модулям Bundle::Apache, Apache, Apache::Registry от CPAN; http: perl.apache.org/, http: perl apache.org/faqa/, man-страницы mod perl{3) и cgi to mod perl{].) (если есть).

19.6. Выполнение команд без обращений к командному интерпретатору

Проблема

Пользовательский ввод должен использоваться как часть команды, но вы не хотите, чтобы пользователь заставлял командный интерпретатор выполнять другие команды или обращаться к другим файлам. Если просто вызвать функцию system или с одним аргументом (командной строкой), то для выполнения может быть использован командный интерпретатор, а это небезопасно.

Решение

в отличие от одноаргументной версии, списковый вариант функции system надежно защищен от обращений к командному интерпретатору. Если аргументы команды содержат пользовательский ввод от формы, никогда не используйте вызовы вида:

system( command $input igifiles ), # НЕНАДЕЖНО

Воспользуйтесь следующей записью:

system("command", $input, lafiles); # НАДЕЖНЕЕ

Комментарий

Поскольку Perl разрабатывался как «язык-клей», в нем легко запустить другую программу - в некоторых ситуациях даже слишком легко.

Если вы просто пытаетесь выполнить команду оболочки без сохранения ее вывода, вызвать system в многоаргументной версии достаточно просто. Но что делать, если вы используете команду в . .. или она является аргументом функции open? Возникают серьезные трудности, поскольку эти конструкции в отличие от system не позволяют передавать несколько аргументов. Возложное рещение - вручную создавать процессы с помощью fork и exec. Работы прибавится, но, по крайней мере, непредвиденные обращения к командному интерпретатору не будут портить вам настроение.

Обратные апострофы используются в сценариях CGI лишь в том случае, если передаваемые аргументы генерируются внутри самой программы:

chomp($now = date);

Но если команда в обратных апострофах содержит пользовательский ввод - например:

laoutput = grep $input lafiles;

приходится действовать намного осторожнее.

die "cannot fork: $!" unless defined ($pid = open(SAFE KID, "-")); if ($pid == 0) {

execCgrep, $input, @files) or die "cant exec grep: $!"; } else {

laoutput = <SAFE KID>;

close SAFE K1D; # $> содержит информацию состояния

Такое рещение работает, поскольку exec, как и system, допускает форму вызова, свободную от обращений к командному интерпретатору. При передаче списка интерпретатор не используется, что исключает возможные побочные эффекты.

При выполнении команды функцией open также потребуется немного потрудиться. Начнем с открытия функцией open конвейера для чтения. Вместо ненадежного кода:

open(KlD TO READ, Sprogram laoptions laargs "); # НЕНАДЕЖНО используется более сложный, но безопасный код: # Добавить обработку ошибок

die "cannot fork: $!" unless defined($pid = open(KID TO READ, "-!"));

if (Spid) { n Родитель while (<KID TO READ>) {

# Сделать что-то интересное