Lista de campos permitidos frente a lista negada

Hay dos formas de limitar el enlace automático. La lista de permitidos enumera los campos que sí se aceptan y descarta el resto: en Laravel es la propiedad $fillable del modelo, en Rails los parámetros fuertes con permit, en Spring setAllowedFields. La lista negada enumera los que no se aceptan y deja pasar todo lo demás: en Laravel es $guarded con nombres de columna, en Spring setDisallowedFields.

La guía de OWASP sobre asignación masiva prefiere la primera, y la razón no es de gusto: la lista negada falla en silencio cada vez que alguien añade una columna y olvida añadirla también a la lista. La de permitidos falla hacia el lado seguro: un campo nuevo no se escribe hasta que alguien lo autoriza a propósito.

Abre el laboratorio, entra en la carpeta pulsoandino-listas y lee historial.txt. Después compara la lista de Socio.php con las columnas que añade la migración de convenios, y busca en auditoria-perfil-noviembre.txt qué columnas nuevas llegaron desde el perfil. Observa también la línea de PLS-10603: la lista negada sí funciona con las columnas que conoce.

Ubica en la auditoría de noviembre al socio que cambió esa columna y, días después, la otra columna del convenio.

Una regla de validación comprueba que un campo que llega tiene la forma correcta; no impide que lleguen otros. Si el código valida cuatro campos y después guarda la petición entera, los campos sin regla pasan sin revisar. En Laravel, $request->validated() devuelve solo los campos que tienen regla, mientras que $request->all() devuelve todo lo recibido. Compara SedeController.php con el otro controlador de la carpeta, y cruza con Clase.php y con la nota de registro-clases.txt.

Ahora que sabes cómo falló la lista negada, elige el arreglo que no vuelve a fallar con la próxima migración.