Gestión de formularios y validación

Un formulario es el único lugar de una aplicación web donde un desconocido escribe directamente en tu sistema. Todo lo que sale de él es sospechoso: un campo obligatorio vacío, una edad negativa, una dirección de correo inventada, un nombre de dos mil caracteres, un <script> en un comentario, un valor enviado desde un cliente que no es tu página.

La dificultad no está en leer los parámetros: getParameter basta. Está en otra parte, en tres problemas que los tutoriales superficiales suelen saltarse.

El primero es la codificación. Un visitante escribe «Genève», tú guardas «Genève». El error solo aparece con los acentos, es decir, nunca en los juegos de prueba en inglés, y su solución no está donde se suele buscar: ni en la página, ni en la base de datos, sino en un filtro aplicado a la petición antes de cualquier lectura.

El segundo es el reenvío del formulario. Un formulario rechazado debe volver al usuario con sus datos conservados y los mensajes de error colocados junto a los campos afectados. Vaciarlo supone hacer reescribir ocho campos por una casilla olvidada, y es la primera causa de abandono en un proceso de compra.