Validación estructural de formularios

¿Qué es la validación estructural de formularios?

La validación estructural de formularios es la capa técnica que garantiza que los datos enviados por un formulario cumplen los requisitos de formato, tipo y coherencia antes de ser procesados. Se implementa en dos niveles:

• Validación en cliente (frontend): Verifica los campos en el navegador antes del envío. Proporciona retroalimentación inmediata al usuario (campo requerido, formato de email incorrecto, longitud mínima). Mejora la experiencia de usuario pero no garantiza la seguridad.
• Validación en servidor (backend): Verifica los datos cuando llegan al endpoint de procesamiento, independientemente del cliente. No se puede evadir: cualquier dato que llegue al servidor es validado antes de procesarse o almacenarse.

La validación estructural completa requiere ambas capas. La validación sólo en cliente puede evadirse enviando peticiones HTTP directamente al endpoint con herramientas como Postman o curl.

¿Qué NO es validación estructural?

• No es sólo el atributo "required" en HTML: El atributo `required` es validación nativa del navegador, pero puede ignorarse con JavaScript desactivado o con peticiones directas al endpoint. No garantiza que el servidor reciba datos válidos.
• No es filtrado de spam: La validación estructural verifica formato e integridad de datos, no intención. La protección contra spam (CAPTCHA, honeypots, rate limiting) es una capa adicional, no parte de la validación estructural.
• No es sanitización: La validación verifica si los datos cumplen los requisitos. La sanitización elimina caracteres peligrosos de los datos antes de procesarlos. Ambas son necesarias; son procesos distintos.

Qué valida un formulario con validación estructural

• Campos requeridos: Los campos obligatorios no pueden estar vacíos ni contener sólo espacios.
• Formato de email: El campo de email contiene una dirección con formato válido (usuario@dominio.extensión).
• Longitud mínima y máxima: Los campos de texto tienen restricciones de longitud. Un nombre no puede tener 1 carácter; un mensaje no puede superar los 5.000 caracteres.
• Tipo de dato: Un campo numérico no acepta texto; un campo de fecha acepta sólo fechas válidas.
• Coherencia entre campos: Si el formulario incluye confirmación de email, ambos campos deben coincidir.
• Valores permitidos: Un campo de selección sólo acepta los valores del conjunto definido (no se puede inyectar un valor arbitrario en un campo select).

Validación estructural y seguridad

La validación estructural en el servidor es una capa de seguridad. Sin validación en servidor, un sistema puede recibir inyecciones SQL, scripts XSS o datos malformados que causen comportamiento inesperado en la base de datos o en los sistemas integrados.

La sanitización complementa la validación: después de validar que los datos tienen el formato correcto, se eliminan o escapan los caracteres que podrían interpretarse como código en el contexto donde se usan los datos (HTML, SQL, JSON).