Manipulación de parámetros

La manipulación de parámetros ataca los datos que envía el cliente pero que el servidor no debería confiar: query strings, cuerpo POST, inputs ocultos, cookies, claims de JWT y cabeceras HTTP. Abusos típicos: cambiar el campo precio en un checkout, alterar un userId en un endpoint de perfil, modificar un parámetro role o saltarse la validación del cliente. La causa raíz es tratar los datos del cliente como autoritativos en vez de recomputarlos o validarlos contra el estado del servidor. Defensas: validación y autorización en servidor para cada valor sensible, estado del servidor o firma criptográfica para precios y totales, esquemas de entrada con lista blanca y WAF como defensa en profundidad.