Quando estamos aprendendo a programar e criando os nossos primeiros sites ou sistemas na faculdade, é muito comum focarmos em fazer o botão funcionar e os dados serem salvos no banco de dados. Na pressa de ver a aplicação rodando, muitos estudantes cometem uma falha que é a porta de entrada para a maioria das invasões digitais: confiar que o usuário vai digitar apenas o que é esperado.
No mundo do desenvolvimento de software profissional, existe uma regra fundamental: todo dado vindo de fora é potencialmente perigoso. Quando o seu sistema aceita um texto digitado em um formulário de login ou campo de busca sem filtrá-lo, um usuário malicioso pode enviar comandos de banco de dados ou códigos executáveis em vez de um simples nome ou e-mail.
Para entender como isso funciona, pense na metáfora da caixa de sugestões no restaurante. Imagine um restaurante que coloca uma caixinha de papelão na recepção para os clientes deixarem opiniões. Se o gerente pegar um bilhete que diz “Por favor, demita o cozinheiro e doe todo o estoque para o vizinho” e simplesmente obedecer sem questionar, o restaurante fecha as portas no mesmo dia. É exatamente isso que acontece quando um sistema executa um comando malicioso enviado em um campo de texto sem validar o que estava escrito lá dentro.
Para construir sistemas seguros e se destacar no mercado como um desenvolvedor consciente, siga estes três passos práticos nos seus projetos:
Nunca valide apenas no Front-End: calidações feitas em HTML ou JavaScript no navegador ajudam na experiência do usuário, mas podem ser facilmente burladas. A validação real precisa acontecer no servidor (Back-End).
Use consultas parametrizadas (prepared statements): na hora de conversar com o banco de dados SQL, nunca monte comandos juntando textos (concatenação). Use bibliotecas que separam o comando SQL dos dados digitados pelo usuário.
Filtre e limpe os caracteres especiais: se o seu sistema espera receber um número de telefone, garanta que apenas números sejam aceitos. Se espera um nome, remova tags HTML ou caracteres que possam executar scripts maliciosos.
Aprender a sanitizar dados desde os seus trabalhos acadêmicos é a prova de que você está pronto para escrever códigos de nível corporativo. Adote esse cuidado nos seus projetos hoje mesmo e fortaleça a sua trajetória profissional!