Paginación y tamaños máximos de respuesta

Paginar es partir un resultado grande en trozos, y casi todas las APIs dejan que el cliente diga de qué tamaño quiere el trozo. Eso está bien mientras el servidor ponga un techo: si el parámetro llega sin máximo, una sola petición puede obligar a la base de datos a leer, ordenar y serializar todo, y a la red a llevarlo. El Top 10 de seguridad de APIs de OWASP de 2023 nombra esto en API4:2023 con una indicación clara: los parámetros que controlan cuántos registros se devuelven se validan en el servidor.

Un techo escrito en la documentación, o aplicado por la web y la app porque construyen la petición con un valor razonable, no protege nada: quien llama a la API directamente no pasa por ninguna de las dos.

Abre el laboratorio y lee los tres controladores de la carpeta guanenta-paginas. Uno pone un techo al tamaño de página, otro lo toma tal como llega y el tercero no pagina. Luego abre registro-respuestas.txt: la columna de petición dice cuánto se pidió y la de filas, cuánto se devolvió. Donde el controlador recorta, las dos no coinciden.

En notas-equipo.txt el equipo afirma un techo general para todas las listas. Un hallazgo de este tipo se escribe midiendo esa afirmación contra la evidencia, no contra el código de una sola ruta. Cuenta las respuestas del registro que devolvieron más filas que ese techo, en cualquier ruta. Las que terminaron en 504 no devolvieron nada: la pasarela cortó a los 30 segundos, y entre ellas hay una petición pequeña de otra cuenta que solo tuvo la mala suerte de llegar en ese momento.

El consumo no es solo lo que sale. Lo que la aplicación recibe ocupa memoria al leerse, tiempo al validarse y espacio al guardarse, y cada parte tiene su techo: el tamaño total del cuerpo, que suele fijarse en el servidor web o en la pasarela; la longitud de cada texto; y el número de elementos de cada lista. API4:2023 los enumera junto con el tamaño de los archivos que se suben. MITRE agrupa la falta de cualquiera de ellos en CWE-770, asignación de recursos sin límites ni regulación.

Lee ImportarPreciosRequest.php y servidor.conf. Fíjate en qué campos llevan un tope de longitud o de valor y en cuál no lleva ninguno, y compara el tamaño de cuerpo permitido con la lista más larga que el equipo dice haber recibido de verdad.

El equipo de Guanentá propone subir el tiempo de espera de la pasarela «para que las listas grandes alcancen a salir». Es tratar el síntoma: el 504 era lo único que estaba protegiendo al resto de clientes de una consulta sin techo. El arreglo pone el techo donde se decide el trabajo, en el servidor, y deja al cliente que de verdad necesita todo un camino pensado para eso, como una exportación en segundo plano.