从本地文件中读取 SQL，然后对其进行评估。安全的？

Question

我继承的代码在代码中具有非常大的 SQL 查询，通常在 heredocs 中，并且插入的变量将动态选择表或字段，如下所示：

    my $query = <<"SQL";
SELECT foo
FROM $some_table
WHERE bar = 'baz'
SQL

一些 SQL 查询非常大。问题是这使我的 Perl 文件不必要地冗长且难以阅读。代码分析和高亮工具也无法解析heredoc SQL。

我想将 SQL 保留在实际的 SQL 文件中，并像上面一样更改 Perl 代码以从本地目录读取文件：

my $query = eval(get_sql('some-file.sql'));

...eval-ing 以便扩展所有范围内的变量。

其中一些会发生在用户传递参数的 Web 可访问脚本中。绝对所有变量都被清除了，我在所有条件子句（WHERE、AND 等）中使用参数化语句

有很多关于使用eval() 的 FUD，所以我想知道：我的解决方案在 Web 应用程序中使用是否安全？

编辑...
我应该进一步提到get_sql() 函数可能看起来像这样：

sub get_sql {
    my ($filename) = @_;

    my $sql = slurp("/path/to/file/$filename.sql");
    my $query = qq|return qq{| . $sql . qq|};|;
    return $query;
}

我了解引号运算符不能出现在将要返回的 SQL 字符串中。

EDIT2...
考虑到任何数量的用例和/或约束，这是一个非常合理的问题。投反对票...没有理由，伙计们。

Answer 1

对于初学者来说，

my $query = <<"SQL";
SELECT foo
FROM $some_table
WHERE bar = 'baz'
SQL

存在注入错误。应该是

my $some_table_lit = $dbh->quote_identifier($some_table);

my $query = <<"SQL";
SELECT foo
FROM $some_table_lit
WHERE bar = 'baz'
SQL

您的模板系统非常糟糕。这相当于敲击螺钉的 CS。它使编写不安全的代码变得非常容易（正如您已经完成的那样），它引入了高耦合，并使代码非常脆弱。

您应该使用比您当前使用的更好的模板系统（有或没有eval）。

以下是使用Template-Toolkit的示例：

my $tt = Template->new();

$tt->process('some-file.sql', {
   some_table => $dbh->quote_identifier($some_table),
})
   or die $template->error();

SELECT foo
FROM [% some_table %]
WHERE bar = 'baz'