Normalizar antes de validar

Antes de comparar un texto con una regla hay que llevarlo a su forma canónica: decodificar lo que venga codificado por el protocolo una sola vez, aplicar la misma normalización de Unicode que se usará después y pasar a minúsculas si la comparación no distingue mayúsculas. Solo entonces se valida, y se guarda y se usa exactamente ese valor. La hoja de referencia de validación de OWASP lo pide en ese orden: validar la forma decodificada que de verdad se va a usar, no una que se transforma otra vez más adelante.

MITRE tiene una entrada para el error contrario: CWE-180, validar antes de canonicalizar. Si la transformación ocurre después de la comprobación, un valor que la regla habría rechazado puede aparecer recién al final, cuando ya nadie lo revisa. La normalización de compatibilidad de Unicode (NFKC) es un ejemplo típico: convierte letras de ancho completo, ligaduras y otras variantes en su forma básica.

Abre el laboratorio y lee AliasService.php y AliasRepositorio.php en la carpeta tinajacoa-alias. El servicio recorta espacios, compara con strtolower (que solo cambia letras ASCII) y valida el formato con una expresión que acepta letras de cualquier alfabeto. El repositorio, al guardar, normaliza a NFKC y pasa a minúsculas. Luego recorre registro-alias.log: la columna no_ascii dice qué puntos de código fuera de ASCII traía cada valor, y la columna guardado dice cómo quedó en la base.

Para dimensionar el problema no basta con el caso grave: hay que saber cuántas veces la validación vio un valor y la base guardó otro. Cuenta las líneas con resultado guardado en las que el texto guardado no es idéntico al recibido (un cambio de mayúsculas también cuenta). No cuentes los rechazos ni el error de duplicado.

NFKC une variantes del mismo carácter, pero no une letras de alfabetos distintos que se ven iguales. Una «е» cirílica (U+0435) y una «e» latina son caracteres diferentes para Unicode, y ninguna normalización convierte una en la otra. Para eso existen las comprobaciones de caracteres confundibles que describe el estándar técnico de Unicode sobre mecanismos de seguridad (UTS #39), o la decisión más simple de limitar los alias a un solo alfabeto.

El error de duplicado de BTJ-30176 cuenta la misma historia desde otro lado: el servicio aceptó el valor y fue la base, al normalizar, la que descubrió que ya existía. El arreglo pone la normalización en un solo sitio, al principio.