Kann man Perl nicht über die Shebang Zeile sicher identifizieren? Denn ohne diese Zeile würde es nicht laufen, solange es sich nicht um Windows handelt.
Ansonsten ist doch die Erkennung über die Dateiendung nicht schlecht. Klar ist die theoretisch Schall und Rauch aber immerhin konfiguriert man den Webserver ja auch darüber. Wenn also die Endung falsch ist würde es auch nicht ausgeführt. Daher die Frage, wieso sollte die Code-Erkennung sicherer sein als hinterher die Ausführung?
Shebang plus Dateiendung finde ich schon ziemlich sicher.