1Définition

Toute donnée reçue est suspecte : elle peut être mal formée, incomplète, absurde ou malveillante. Une route valide le corps avant de l'utiliser, répond 400 avec une raison quand il est invalide, 409 en cas de conflit, et ne recopie jamais un objet reçu tel quel dans sa base.

2Principes fondamentaux

3Exemples pratiques

1let donnees;2try {3  donnees = await request.json();4} catch {5  return Response.json({ erreur: "Le corps doit être du JSON." }, { status: 400 });6}7const pseudo = typeof donnees.pseudo === "string" ? donnees.pseudo.trim() : "";8if (pseudo.length < 2 || pseudo.length > 20) {9  return Response.json({ erreur: "Le pseudo doit faire entre 2 et 20 caractères." }, { status: 400 });10}

1import { z } from "zod";2 3const Inscription = z.object({4  pseudo: z.string().trim().min(2).max(20),5});6 7const resultat = Inscription.safeParse(donnees);8if (!resultat.success) {9  return Response.json({ erreur: resultat.error.issues[0].message }, { status: 400 });10}

4Erreurs courantes

const joueur = { id, ...donnees };

const joueur = { id, pseudo: donnees.pseudo };

// le formulaire vérifie déjà la longueur

// le serveur vérifie toujours

const d = await request.json();   // plante sur un corps mal formé

try { … } catch { return … 400 }

5Subtilités à connaître

• ◆Une longueur maximale sur chaque texte est aussi une protection : sans elle, un corps de plusieurs mégaoctets occupe le serveur.
• ◆Valider les types ne suffit pas : un identifiant bien formé peut désigner la ressource de quelqu'un d'autre — c'est une question d'autorisation.
• ◆Les erreurs de validation peuvent lister tous les champs fautifs d'un coup : l'utilisateur corrige tout en une fois.

6Vérifie ta compréhension