es ist egal, ob man per textfeld was eingeben kann oder nicht. jeder parameter, den du von aussen holst, ist manipulierbar.
auf was du prüfst, hängt immer davon ab, was du anschliessend mit den daten anstellst. für datenbankabfragen solltest du z.b. platzhalter verwenden, für system-calls die form mit mehreren argumenten, und bei ausgabe als html einfach alles in html-entities umwandeln.
pauschal zu sagen, du musst x und y rausfiltern, das geht so nicht.

perldoc perlsec lesen
http://bobby-tables.com/ für datenbankabfragen lesen