=~ s/#([a-z0-9_]+)#/$hash{$1}/g;

コマンドは英数字のみ許可すればいい