infinity — Protocolo de Limite e Validação de Entrada

Filosofia Central

Nada não confiável chega ao núcleo — é parado antes do contato. Nenhum dado externo toca o código-fonte bruto. Cada limite onde os dados entram no sistema deve ter um filtro.

A principal fonte de bugs silenciosos, travamentos e vulnerabilidades são dados externos que chegam em um formato inesperado e são usados diretamente sem verificação. Essa habilidade impõe uma camada de filtro em cada ponto de entrada, todas as vezes.

Quando Usar Esta Habilidade

• Use quando precisar lidar com uma resposta de API
• Use ao ler a entrada do usuário ou adicionar um manipulador de formulário
• Use ao trabalhar com variáveis de ambiente ou argumentos de linha de comando
• Use ao analisar webhooks ou ler do sistema de arquivos
• Use quando qualquer código chamar .body, .params, .query, .env, fs.read, ou uma resposta de SDK de terceiros

As Quatro Fases

FASE 1 — Detecção de Limite

Antes de escrever ou modificar qualquer código que envolva dados externos, a IA deve identificar e listar todos os pontos de entrada em escopo:

• Corpos de requisição HTTP, cabeçalhos, parâmetros de consulta
• Entradas de formulário do usuário e dados enviados pela interface do usuário
• Variáveis de ambiente e arquivos de configuração
• Respostas de API de terceiros
• Cargas úteis de webhook
• Leituras de arquivos do disco
• Argumentos de linha de comando
• Resultados de consulta de banco de dados de fontes externas
• Mensagens WebSocket

A IA não deve escrever nenhuma lógica de manipulação de dados até que todos os pontos de entrada em escopo sejam listados.

FASE 2 — Classificar Cada Entrada

Para cada ponto de entrada identificado, a IA o classifica em um de três níveis de confiança:

Regra: Entradas TRUSTED podem ser usadas diretamente. Entradas SEMI-TRUSTED e UNTRUSTED devem passar por uma camada de filtro antes de qualquer uso.

A IA gera essa classificação antes de escrever qualquer código de manipulação:

INFINITY — BOUNDARY MAP
─────────────────────────────────────────
Entry Point              | Trust Level  | Filter Required
─────────────────────────────────────────
req.body.email           | UNTRUSTED    | ✓ format + sanitize
process.env.API_KEY      | UNTRUSTED    | ✓ presence + non-empty
internalService.getData()| SEMI-TRUSTED | ✓ schema validate
PAGINATION_LIMIT = 20    | TRUSTED      | ✗ none needed
─────────────────────────────────────────

FASE 3 — Camada de Filtro Obrigatória

Cada entrada UNTRUSTED e SEMI-TRUSTED deve passar por validação antes de atingir qualquer lógica de negócios, armazenamento ou renderização. A IA deve aplicar o tipo de filtro correto para o contexto correto:

Verificação de Tipo

• Verifique se a entrada é do tipo esperado antes de usá-la
• Nunca assuma que uma string é uma string, um número é um número, ou um array é um array

Validação de Esquema

• Para objetos e respostas de API, valide a estrutura antes de acessar campos aninhados
• Se um campo obrigatório estiver faltando, rejeite — não use um fallback que oculte o problema

Sanitização

• Remova ou escape o conteúdo antes de renderizar para a interface do usuário (prevenir XSS)
• Normalize strings antes do armazenamento (remover espaços em branco, capitalização consistente onde apropriado)

Verificações de Presença e Formato

• Variáveis de ambiente: devem existir e não estar vazias antes do uso
• IDs e tokens: devem corresponder ao formato esperado antes do uso

Regra de Rejeição

• Em caso de entrada inválida: rejeite explicitamente e retorne um erro claro
• Nunca use silenciosamente dados ruins com um fallback
• Nunca deixe dados ruins passarem para se corrigirem "a jusante"

// WRONG — using raw input directly
const user = await db.find(req.params.id);

// RIGHT — validate before use
const id = req.params.id;
if (!id || typeof id !== 'string' || !isValidUUID(id)) {
  return res.status(400).json({ error: 'Invalid ID format' });
}
const user = await db.find(id);

FASE 4 — Autoverificação Antes de Concluir

Antes que a IA declare qualquer código de manipulação de dados como concluído, ela rastreia cada ponto de entrada e confirma:

INFINITY — VERIFICAÇÃO
─────────────────────────────────────────
Ponto de Entrada     | Filtro Existe | Tipo de Filtro
─────────────────────────────────────────
req.body.email       | ✓ SIM         | formato + sanitizar

…