miji.beLa validación de entrada es el proceso que verifica si los datos introducidos por los usuarios se ajustan al formato y al rango esperados. OWASP indica que, frente a la inyección SQL y el XSS, además de la validación de entrada se necesitan consultas parametrizadas y una codificación de salida acorde al contexto.
Entre los métodos de validación de entrada están el de lista blanca (se definen los patrones permitidos y se rechaza todo lo demás) y el de lista negra (se definen los patrones prohibidos y se permite todo lo demás). OWASP pide que las aplicaciones definan los valores que aceptan y rechacen todo lo demás, en lugar de intentar identificar todas las cadenas maliciosas.
En los acortadores de URL, las URLs que introducen los usuarios también son objeto de validación. Entre los elementos que se verifican están, por ejemplo, el formato de la URL (conforme a RFC 3986), que el protocolo sea http:// o https:// (exclusión del esquema javascript:), que el dominio no figure en una lista negra (exclusión de sitios de phishing) y que la longitud de la URL no supere el límite. La guía de OWASP sobre la prevención de XSS menciona permitir solo las URLs http y https como ejemplo de medida para las URLs no fiables que se colocan en los atributos href o src.
La guía de OWASP sobre la validación de entrada recomienda validar en el lado del servidor aunque los mismos elementos se comprueben en el navegador, y usar la validación del lado del cliente, que se puede eludir, para ofrecer una respuesta inmediata.