Sanitização de entradas: o que limpar, onde e por quê

Todo dado que entra no sistema — formulários, parâmetros de URL, arquivos, webhooks, respostas de APIs externas — vem de fora e precisa ser tratado com desconfiança. Duas técnicas trabalham juntas: validação e sanitização.

Validar

Verificar se o dado tem o formato esperado e rejeitar o que não tem: e-mail válido, número dentro do limite, texto com tamanho máximo (Validação rigorosa de dados: prevenindo falhas de segurança e dados inconsistentes com Zod e TypeScript).

Sanitizar

Transformar o dado para remover ou neutralizar o que pode ser perigoso:

• Remover espaços extras e caracteres de controle.
• Normalizar (minúsculas em e-mails, formato padrão de telefone).
• Remover HTML de campos que não deveriam ter (XSS em aplicações React: onde o React não te protege).
• Sanitizar HTML permitido (editores de texto) com bibliotecas específicas.

Escapar na saída

Mais importante que sanitizar na entrada é escapar no momento de usar o dado, de acordo com o contexto:

• No HTML: escapar caracteres especiais (o React faz por padrão).
• No banco: consultas parametrizadas (SQL injection em 2026: ainda acontece, e é assim que se previne, NoSQL injection: o risco que pega quem usa MongoDB).
• Em comandos do sistema: evitar montá-los com dados do usuário.
• Em prompts de IA: separar e rotular conteúdo externo (Prompt injection: o novo SQL injection).

Onde fazer

No servidor, sempre. O navegador e o app podem ser manipulados — a validação no cliente é conveniência para o usuário.

Veja Segurança Anti-Hacker da We Codex ou fale com a gente.