Validation des entrées

Toute donnée qui entre dans le backend par un corps de requête passe par un schéma Zod avant d'atteindre un contrôleur. Les sorties sensibles (emails HTML, exports CSV, journaux) sont neutralisées. Cette page décrit le mécanisme, les bornes appliquées et les zones qui échappent encore à la validation.

#Le middleware validate

backend/src/middlewares/validate.middleware.ts reçoit un schéma de forme { body, query, params } et appelle schema.parseAsync.

{
  "success": false,
  "message": "Erreur de validation des données",
  "errors": [
    { "path": "body.walletAddress", "message": "Adresse de portefeuille invalide" }
  ]
}

Les objets Zod sont non stricts par défaut : un champ non déclaré n'est pas rejeté, il est retiré. C'est ce qui protège contre l'affectation de masse. Un client qui ajoute "role": "ADMIN" au corps de /api/auth/login n'a aucun effet, puisque role ne figure pas dans socialLoginSchema.

Seul req.body est réécrit. Les paramètres d'URL et de requête (req.params, req.query) peuvent être vérifiés par un schéma, mais le contrôleur lit toujours la valeur brute. Les schémas des routes de vérification d'identité et de gestion des comptes de l'administration sont les seuls à déclarer query et params ; ailleurs, ces valeurs sont converties à la main dans les contrôleurs (voir Limites connues).

#Schémas et bornes

Chaque module a son fichier *.validators.ts. Le tableau résume les règles de sécurité qu'ils imposent.

Les variables d'environnement sont elles aussi validées par Zod au démarrage, dans backend/src/config/env.config.ts : le processus s'arrête si une valeur est invalide (voir Cryptographie et secrets).

#Pièces d'identité

Le schéma de POST /api/user/identity ne borne que la longueur. Le contenu est contrôlé ensuite par decodeIdentityImage de backend/src/utils/identity-image.util.ts, pour le recto comme pour le verso :

Le type déclaré par le client n'est jamais cru : seuls les premiers octets décident. Les images sont chiffrées dès la validation (voir Cryptographie et secrets) et ne sont jamais écrites sur disque ni dans les journaux. Elles ne sont pas réencodées : les métadonnées EXIF d'une photo envoyée par un autre client que le mobile, qui demande exif: false, sont conservées jusqu'à l'effacement. Le test refuse une image trop lourde, un format inconnu ou une face manquante de backend/__tests__/api/identity.test.ts couvre ces règles.

#Le cas des événements analytiques

POST /api/analytics/track est ouvert aux anonymes. Sans contrôle, un client pourrait insérer de faux événements ADMIN_AUDIT:..., qui apparaîtraient dans le journal d'administration puisque celui-ci est stocké dans la même table. Le schéma refuse donc tout type commençant, sans tenir compte de la casse, par ADMIN_AUDIT, USER_SIGNUP ou USER_LOGIN. Le test refuse les événements analytiques qui imitent le journal d'administration le vérifie.

#Limites de taille

#Injections

#Échappement des sorties

#Emails

backend/src/services/email.service.ts remplace chaque {{VARIABLE}} des modèles HTML par sa valeur échappée :

const escapeHtml = (value: string): string =>
  value.replace(/[&<>"']/g, (char) =>
    ({ '&': '&amp;', '<': '&lt;', '>': '&gt;', '"': '&quot;', "'": '&#39;' })[char] ?? char
  );

Un message personnel de cadeau contenant <script> arrive donc sous forme de texte dans la boîte du destinataire. Les modèles sont dans backend/src/templates/emails.

#Exports CSV

L'export comptable (GET /api/admin/reports/export) passe chaque cellule par neutralizeSpreadsheetCell de backend/src/utils/crypto.util.ts :

• la cellule est entourée de guillemets doubles et ses guillemets internes sont doublés ;
• si elle commence par =, +, -, @, une tabulation ou un retour chariot, une apostrophe est ajoutée devant pour qu'un tableur ne l'interprète pas comme une formule.

#Journaux

Les adresses email sont masquées par maskEmail (j***@domaine) dans les journaux d'envoi. Aucun code, jeton ou secret n'est journalisé. Les erreurs non gérées renvoient en production le message générique Erreur interne du serveur et l'identifiant requestId, sans trace technique.

#Frontends

Le web (React) et le mobile (React Native) affichent les données comme du texte. Le code ne contient aucun appel à dangerouslySetInnerHTML sur une donnée reçue de l'API. Le site de l'Office de Tourisme est traité dans Navigateur et mobile.

#Limites connues

Ces points figurent dans la synthèse des audits. Pour ajouter un schéma à une nouvelle route, suivre le guide Ajouter un endpoint.