Validación de datos: Joi, JSON Schema y Standard Schema

La validación en el cliente (el navegador) es una cuestión de experiencia: avisa al instante de que falta la arroba del email, sin esperar al servidor. Pero cualquiera puede saltársela: desactivando JavaScript, editando el HTML con las herramientas para desarrolladores o enviando la petición directamente con curl.

Por eso la validación en el servidor es la que protege de verdad: es la última puerta antes de tu base de datos. Todo lo que llega de fuera (el cuerpo de una petición, los parámetros de la URL, las cabeceras, los archivos, las respuestas de otras APIs) es dato no confiable hasta que lo validas, incluidos los campos que no esperabas, como un esAdmin colado. Los tipos de TypeScript no ayudan aquí: desaparecen al ejecutar.

Validar a mano con if es repetitivo y siempre se escapa algún caso. Un esquema describe una sola vez la forma de los datos válidos: qué campos hay, de qué tipo son, cuáles son obligatorios y qué reglas cumplen. Un validador compara los datos con el esquema y te devuelve los datos limpios o una lista de errores con la ruta de cada uno.

Los esquemas se escriben de dos maneras: con código, encadenando funciones de una librería (Joi, Zod, Valibot, ArkType), o como datos, en un documento JSON que sigue un estándar (JSON Schema). Lo primero es más cómodo dentro de un lenguaje; lo segundo viaja entre lenguajes y herramientas.

Joi nació en el ecosistema del framework hapi y es uno de los validadores más veteranos de JavaScript. El esquema se construye encadenando métodos que se leen casi como una frase: Joi.string().email().required(). Con esquema.validate(datos) obtienes { value, error }: el valor ya limpio y, si algo falla, un error con el detalle de cada problema.

Por defecto convierte valores cuando puede (el texto "18" pasa a ser el número 18), rechaza las propiedades que el esquema no declara y se detiene en el primer error; con abortEarly: false los recoge todos. Las versiones recientes también implementan Standard Schema.

JSON Schema describe la forma que debe tener un documento JSON usando otro documento JSON. Con palabras clave como type, properties, required, minLength, minimum, enum o additionalProperties dices qué campos hay, de qué tipo son y qué reglas cumplen. Conviven varias versiones de la especificación, como draft-07 y 2020-12; el campo $schema indica cuál usa cada esquema.

Su gran ventaja es que es un estándar, no una librería: el mismo esquema lo validan herramientas de JavaScript, Python, Java o Go. Por eso lo usa OpenAPI para describir APIs, como verás en el módulo de APIs, y muchos editores para autocompletar archivos de configuración.

Ajv (Another JSON Schema Validator) lee un JSON Schema y lo compila a una función de JavaScript optimizada: const validar = ajv.compile(esquema). Después, validar(datos) devuelve true o false y deja los problemas en validar.errors, con la ruta del dato (instancePath) y la regla que falló (keyword).

Compilar una vez y validar muchas lo hace muy rápido: Fastify, un framework de Node.js, lo usa por debajo para validar peticiones. Lo más habitual es activar allErrors: true, para recoger todos los errores, y añadir el paquete ajv-formats, que comprueba formatos como email o date.

Estas librerías siguen la idea de Joi, un esquema construido con código, pero con TypeScript en el centro: a partir del esquema deducen el tipo de los datos válidos, así que no escribes la interfaz dos veces. Si cambias el esquema, el tipo cambia con él.

Zod es la más popular; Valibot está diseñada de forma modular para que el bundler incluya solo las funciones que usas, lo que la hace muy ligera en el navegador; ArkType describe los tipos con una sintaxis parecida a la de TypeScript, en cadenas como "number > 0". Las tres funcionan en el navegador y en el servidor.

Si escribes una librería que recibe esquemas (un router, un gestor de formularios, un cliente de API), ¿con qué validador te casas? Antes había que elegir uno o escribir un adaptador para cada uno. Standard Schema es una interfaz de TypeScript, acordada por los autores de Zod, Valibot y ArkType, que lo resuelve: cada esquema compatible expone una propiedad ~standard con el mismo formato.

Esa propiedad contiene version, vendor (el nombre de la librería) y una función validate(valor) que devuelve { value } si todo va bien o { issues } con la lista de problemas, cada uno con su message y su path. La implementan Zod, Valibot, ArkType y las versiones recientes de Joi, y la aceptan herramientas como tRPC, TanStack Form o Signal Forms de Angular.

El ~ del nombre tiene un motivo: evita choques con propiedades que ya existían en las librerías y hace que el editor muestre esa clave al final del autocompletado.