El patrón común: separar datos de instrucciones

Todo lo visto en el módulo se deja escribir en una frase: un intérprete recibe una cadena —o una estructura, o un documento— donde las instrucciones y los datos están mezclados, y no tiene forma de saber cuál es cuál. El catálogo de MITRE lo dice en su clase CWE-74, de la que cuelgan la inyección SQL, la de comandos, la de plantillas, la de directorio, la de XPath y la del registro. El Top 10 de aplicaciones web de OWASP de 2025 las reúne en su categoría de inyección, A05:2025.

De ese enunciado sale la única defensa que funciona en todas: separar el canal. El intérprete recibe por un lado la instrucción, que escribe el proyecto, y por otro los datos, que llegan de fuera. En SQL eso es la consulta preparada; en un motor de plantillas, la plantilla fija y el contexto; en una base de documentos, el filtro armado en el servidor con valores de tipo comprobado; en un directorio o en XPath, la utilidad de escape o la variable de la consulta; en un registro, un evento por línea con campos propios; y en XML, un analizador que no acepta que el documento le indique qué más leer.

Lo que no funciona, y conviene decirlo en el informe porque es lo primero que se propone: listas de caracteres prohibidos, filtros de palabras y validación en el navegador. Validar la entrada sigue siendo útil —reduce el daño y atrapa errores—, pero es un segundo cinturón: la separación del canal es la que sostiene.

Abre el laboratorio y lee la carpeta tinajal-patron. Cruza el inventario de puntos con el tablero de hallazgos: todos los puntos que no separan el dato de la instrucción deberían tener su fila en el tablero. Uno no la tiene.

La nota de arquitectura necesita una cifra: cuántos puntos hay que cambiar. Recorre el inventario y cuenta los puntos cuya última columna dice que no separan el dato de la instrucción.

El catálogo de debilidades de la carpeta trae el criterio del equipo: se elige la entrada más específica que describa el fallo. Con ese criterio, una de las filas del tablero está etiquetada con una entrada demasiado general. Encuéntrala y dale la etiqueta que corresponde.

Un informe que enumera trece puntos sin orden se queda en la bandeja. Lo que mueve el trabajo es agrupar: un solo enunciado de causa, el arreglo por tipo de intérprete, y los puntos ordenados por quién entrega el dato y qué alcanza el intérprete. El equipo recibe entonces una decisión de arquitectura y no trece tareas sueltas.