Validación de formato y filtros de salida

Validar el formato es comprobar que la salida cumple un esquema: la acción es una de las permitidas, el campo de cuenta tiene la forma esperada, el monto está dentro de un rango, el texto no pasa de cierto largo. Es una defensa determinista, barata y muy buena para impedir que una salida malformada llegue a un sistema que la usa, por ejemplo una acción inventada o un monto absurdo.

Lo que no hace es comprobar que el contenido sea correcto ni que esté permitido. Una cuenta con la forma exacta puede ser de otra persona, y un monto válido puede ser un monto que ese usuario no debería poder pedir. Esas son preguntas de autorización, y se contestan consultando datos, no mirando la forma.

Abre el esquema y las salidas. Cada fila anota el usuario autenticado, la cuenta sobre la que opera la salida y el resultado de la validación de formato. Para una salida legítima, la cuenta es la del usuario. Si no lo es, hay que ver si la validación la dejó pasar.

Busca la salida que pasó la validación de formato y opera sobre una cuenta distinta de la del usuario autenticado. Las que no pasaron la validación no cuentan.

El esquema dice qué acepta Radal: tres acciones, una cuenta de seis dígitos, un monto de 0 a 500 y un motivo de hasta 200 caracteres. La columna «formato» del registro anota el resultado de aplicar el esquema, pero conviene que entiendas por qué cada rechazada lo es: una cuenta mal formada, un monto fuera de rango, una acción que no existe, un texto demasiado largo.

Cuenta las salidas que la validación de formato rechazó.

Un filtro de salida busca patrones: una secuencia de dígitos con la forma de un número de tarjeta, un teléfono, un documento. Funciona bien con los datos que tienen una forma regular y falla cuando el dato aparece de otra manera, por ejemplo partido en grupos que el patrón no espera. Lo que no ve, sale.

Por eso la revisión posterior existe: es la segunda mirada sobre lo que el filtro dejó pasar. En el registro, una sola salida tiene un hallazgo de esta clase.

La salida de la cuenta ajena es el hallazgo más serio de esta sala: pasó todas las defensas de forma. Añadir más validaciones de formato no lo arregla, porque el problema no está en la forma. Hace falta una comprobación de pertenencia que consulte los datos: que el servidor, antes de ejecutar, verifique que la cuenta es del usuario autenticado, sin fiarse de lo que haya escrito el modelo.

Es el mismo principio de la sala anterior: el modelo propone y un sistema determinista autoriza.