Manipulação de parâmetros

A manipulação de parâmetros visa dados enviados pelo cliente mas que o servidor não deve confiar: query strings, corpo POST, inputs ocultos, cookies, claims JWT e cabeçalhos HTTP. Abusos comuns: alterar um campo preço no checkout, mudar um userId num endpoint de perfil, virar um parâmetro role ou contornar validação do lado do cliente. A causa raiz é o servidor tratar dados do cliente como autoritativos em vez de recalcular ou validar contra estado servidor. Defesas: validação e autorização no servidor para cada valor sensível, preços e totais provenientes do servidor ou assinados, esquemas de entrada com allow-list e WAF como defesa em profundidade.