短.be入力バリデーションとは、ユーザーからの入力データが期待する形式や範囲に合致するかを検証するプロセスです。 OWASP は、SQL インジェクションや XSS には、入力バリデーションに加えてパラメーター化クエリや文脈に応じた出力エンコードが要るとしています。
入力バリデーションの方式には、ホワイトリスト方式 (許可するパターンを定義し、それ以外を拒否) とブラックリスト方式 (禁止するパターンを定義し、それ以外を許可) があります。 OWASP は、アプリケーションが受け付ける値を定めてそれ以外を拒否し、悪意のある文字列をすべて見分けようとしないよう求めています。
短縮 URL サービスでは、ユーザーが入力する URL もバリデーションの対象です。検証する項目には、たとえば URL の形式 (RFC 3986 準拠)、プロトコルが http:// または https:// であること (javascript: スキームの排除)、ドメインがブラックリストに含まれていないこと (フィッシングサイトの排除)、URL の長さが上限以内であることがあります。 OWASP の XSS 対策の解説は、href や src 属性に入る信頼できない URL の対策の例として、http と https の URL だけを許可することを挙げています。
OWASP の入力検証の解説は、ブラウザーで同じ項目を確かめる場合もサーバーサイドで検証し、回避できるクライアントサイドの検証は即座のフィードバックに使うよう勧めています。