如何在Perl中安全插值含匹配变量的第三方替换字符串？

问题场景 #

当正则表达式和替换字符串来自第三方用户输入时，常规替换语法无法自动插值$1、$+{name}这类匹配变量。例如以下代码：

use strict;
use warnings;

my $regex = '([^ ]+)e s';
my $subst = '$1 ';

my $text = 'fine sand';

print $text =~ s/$regex/$subst/r;
print "\n";

运行结果并非预期的finand，而是：

$1 and

常见的解决方案是使用/er修饰符结合eval执行替换，代码如下：

print $text =~ s/$regex/eval $subst/er;

虽然能得到正确结果，但由于替换字符串来自用户输入，eval会执行任意传入的代码，存在严重安全风险。

安全替代方案 #

1. 微调语法的格式化替换 #

如果可以接受替换字符串语法微调（比如将$1改为%s），可以先执行正则匹配，再用sprintf插值捕获组内容：

use strict;
use warnings;

my $regex = '([^ ]+)e s';
my $subst = '%s ';  # 将$1替换为%s格式符
my $text = 'fine sand';

if ($text =~ /$regex/) {
    # 覆盖常用数量的捕获组，可根据需求扩展
    my @captures = ($1, $2, $3, $4, $5, $6, $7, $8, $9);
    my $replacement = sprintf $subst, @captures;
    $text =~ s/$regex/$replacement/;
    print $text, "\n";
}

这种方法的局限是无法支持无限多的捕获组，也不兼容命名捕获组。

2. 支持编号/命名捕获组的安全解析 #

要同时支持编号捕获组（$1、$2）和命名捕获组（$+{name}、${name}），且避免eval风险，可以手动解析替换字符串中的变量，替换为对应的捕获值：

use strict;
use warnings;

my $regex = '(?P<prefix>[^ ]+)e s';
my $subst = '$+{prefix} ';
my $text = 'fine sand';

if ($text =~ /$regex/) {
    # 获取命名捕获组和编号捕获组的内容
    my %named_captures = %+;
    my @numbered_captures = ($1, $2, $3, $4, $5, $6, $7, $8, $9);
    
    # 替换命名捕获组变量：匹配$+{name}和${name}格式
    $subst =~ s/\$\+\{(\w+)\}/$named_captures{$1} || ''/g;
    $subst =~ s/\$\{(\w+)\}/$named_captures{$1} || ''/g;
    
    # 替换编号捕获组变量：匹配$1、$10等格式
    $subst =~ s/\$(\d+)/$numbered_captures[$1-1] || ''/ge;
    
    # 执行最终替换
    $text =~ s/$regex/$subst/;
    print $text, "\n";
}

该方法通过正则解析替换字符串中的匹配变量，仅替换对应的捕获结果，不会执行任意代码，安全性更高，同时兼容两种捕获组类型。

内容的提问来源于stack exchange，提问作者Bernhard Bodenstorfer