是否可以在没有另一个 HTTP 请求的情况下将 POST 参数发送到 CGI 脚本？

Question

我正在尝试从另一个 Perl 模块在当前环境中运行 CGI 脚本。使用 GET 请求的标准系统调用一切正常。 POST 也很好，直到参数列表变得太长，然后它们被切断。

有没有人遇到过这个问题，或者对其他尝试方法有什么建议？

为清楚起见，以下内容有所简化。还有更多的错误检查等等。

对于 GET 请求 和 不带参数的 POST 请求，我执行以下操作：

# $query is a CGI object.
my $perl = $^X;
my $cgi  = $cgi_script_location; # /path/file.cgi
system {$perl} $cgi;

• 参数通过 QUERY_STRING 环境变量。
• STDOUT 被调用方捕获 脚本所以无论 CGI 脚本 打印行为正常。
• 这部分有效。

对于 带有参数的 POST 请求，以下工作有效，但似乎限制了我的可用查询长度：

# $query is a CGI object.
my $perl = $^X;
my $cgi  = $cgi_script_location; # /path/file.cgi

# Gather parameters into a URL-escaped string suitable 
# to pass to a CGI script ran from the command line.
# Null characters are handled properly.
# e.g., param1=This%20is%20a%20string&param2=42&... etc.
# This works.
my $param_string = $self->get_current_param_string();

# Various ways to do this, but system() doesn't pass any 
# parameters (different question).
# Using qx// and printing the return value works as well.
open(my $cgi_pipe, "|$perl $cgi");
print {$cgi_pipe} $param_string;
close($cgi_pipe);

• 此方法适用于短参数列表，但如果整个命令接近 1000 个字符，则参数列表会缩短。这就是我尝试将参数保存到文件的原因；以避免外壳限制。
• 如果我从执行的 CGI 脚本中转储参数列表，我会得到如下内容：

param1=blah
... a bunch of other parameters ...
paramN=whatever
p <-- cut off after 'p'. There are more parameters.


我做过的其他没有帮助或工作的事情

• 关注CGI troubleshooting guide
• 使用 CGI->save() 将参数保存到文件中，将该文件传递给 CGI 脚本。使用此方法仅读取第一个参数。

$> perl index.cgi < temp-param-file

• 将 $param_string 保存到一个文件中，将该文件传递给 CGI 脚本，就像上面一样。与通过命令行传递命令的限制相同；仍然被切断。
• 确保$CGI::POST_MAX 的高值可以接受（为-1）。
• 确保 CGI 的命令行处理工作正常。 (:no_debug 没有设置)
• 使用相同的参数从命令行运行 CGI。这行得通。

潜在客户

• 显然，这似乎是 Perl 用于执行命令的 shell 的字符限制，但无法通过文件传递参数来解决。

Answer 1

将参数作为单个字符串从 HTTP 输入分配给系统是极其危险的。

来自perldoc -f system，

如果只有一个标量参数，则检查参数是否有 shell 元字符，如果有，则将整个参数传递给系统的命令 shell 进行解析（在 Unix 平台上是 /bin/sh -c，但在其他平台上有所不同）。如果参数中没有 shell 元字符，..

换句话说，如果我传入参数-e printf("working..."); rm -rf /;，我可以从您的磁盘中删除信息（如果您的Web 服务器以root 身份运行，则所有信息）。如果您选择这样做，请务必致电 system("perl", @cgi)。

您遇到的参数长度问题可能是操作系统限制（描述于http://www.in-ulm.de/~mascheck/various/argmax/）：

学习上限有不同的方法：

• 命令：getconf ARG_MAX
• 系统标头：ARG_MAX 在例如

保存到临时文件是有风险的：对 CGI 的多次调用可能会保存到同一个文件中，从而造成一个用户的参数可能被另一个用户的进程使用的竞争条件。

您可以尝试打开进程的文件句柄并将参数作为标准输入传递。 open my $perl, '|', 'perl' or die; fprintf(PERL, @cgi);

Answer 2

我不想这样做，但我采用了最直接的方法并且它有效。我欺骗环境认为请求方法是 GET 以便被调用的 CGI 脚本将从它期望的 QUERY_STRING 环境变量中读取其输入。像这样：

$ENV{'QUERY_STRING'} = $long_parameter_string . '&' . $ENV{'QUERY_STRING'};
$ENV{'REQUEST_METHOD'} = 'GET';

system {$perl_exec} $cgi_script;

我担心这可能导致的潜在问题，但我想不出这会造成什么危害，而且到目前为止效果很好。但是，因为我很担心，我想我会问部落他们是否发现任何潜在的问题：

Are there any problems handling a POST request as a GET request on the server

在人们确认或至少在上述帖子中进行辩论之前，我会将其标记为官方答案。

Answer 3

原来问题其实和我拼凑的原始参数和参数串的Content-Length差异有关。我没有意识到 CGI 模块正在使用原始标题中的这个值作为要读取多少输入的限制（有道理！）。显然我所做的额外转义是添加一些字符。

我的解决方案的技巧是简单地将我将传递的参数字符串拼凑在一起，并修改 CGI 模块将检查的环境变量以确定内容长度等于 .

这是最终的工作代码：

use CGI::Util qw(escape);

my $params;

foreach my $param (sort $query->param) {
 my $escaped_param  = escape($param);

 foreach my $value ($query->param($param)) {
  $params .= "$escaped_param=" . escape("$value") . "&";
 }
}

foreach (keys %{$query->{'.fieldnames'}}) {
 $params .= ".cgifields=" . escape("$_") . "&";
}

# This is the trick.
$ENV{'CONTENT_LENGTH'} = length($params);

open(my $cgi_pipe, "| $perl $cgi_script") || die("Cannot fork CGI: $!");
local $SIG{PIPE} = sub { warn "spooler pipe broke" };

print {$cgi_pipe} $params;

warn("param chars: " . length($params));

close($cgi_pipe) || warn "Error: CGI exited with value $?";

感谢大家的帮助！