Perl如何处理CGI文件上传 CGI.pm模块的使用_技术教程

因为 CGI.pm 默认将文件上传字段当作普通参数处理，$cgi->param('file') 只返回文件名（甚至为空），必须用 $cgi->upload('file_field_name') 获取文件句柄；表单需设 enctype="multipart/form-data"，否则 upload() 返回 undef。

CGI.pm 读取上传文件时为何 `$cgi->param('file')` 返回空？

因为 CGI.pm 默认把文件上传字段当作普通参数处理，实际文件内容需要通过 $cgi->upload() 获取。直接用 param() 只能得到文件名（在部分浏览器下甚至为空），不是文件句柄。

必须用 $cgi->upload('file_field_name') 获取可读文件句柄，而非 $cgi->param()
表单的 name 属性值必须和 upload() 的参数一致
HTML 表单必须设置 enctype="multipart/form-data"，否则 upload() 返回 undef

如何安全保存上传的文件到磁盘？

不能直接用用户提交的原始文件名，需过滤路径遍历（如 ../etc/passwd）和非法字符。Perl 自身不自动清理文件名，得手动处理。

用 File::Basename::basename() 提取纯文件名，丢弃路径部分
用正则 s/[^a-zA-Z0-9._-]+//g 删除危险字符（保留字母、数字、点、下划线、短横）
检查扩展名是否在白名单中（如 qw(jpg png pdf txt)），避免执行型文件上传
用 open my $fh, '>', $safe_path 写入，不要用 >> 追加，防止覆盖关键文件

use File::Basename;
my $upload = $cgi->upload('myfile');
my $filename = basename($cgi->param('myfile'));
$filename =~ s/[^a-zA-Z0-9._-]+//g;
my $ext = lc((split /\./, $filename)[-1] // '');
die "Invalid extension" unless grep { $_ eq $ext } qw(txt jpg png pdf);
open my $out, '>', "/var/www/uploads/$filename" or die "Cannot open: $!";
binmode $out;
while (my $bytesread = read($upload, my $buffer, 8192)) {
    print $out $buffer;
}
close $out;