接口参数校验要确认类型、长度、范围与业务关系。前端校验提高体验，服务端校验才约束实际请求。
规定输入契约
字段类型、允许值和必填条件清楚，未知字段明确处理。
检查业务条件
用户是否有权操作编号、金额是否在范围、状态是否允许变更，不能只验证字符格式。
使用安全数据接口
数据库操作采用参数化方法，输出按场景编码。测试缺字段、异常长度与非法组合，错误提示不返回内部堆栈。
校验规则覆盖类型与业务范围
长度、格式与允许值检查之后，还需判断数量、状态和对象关系是否有效。
非法输入服务端拒绝并返回可理解错误，前端校验只改善体验，不能作为唯一边界。
例如字段格式是数字，但负数不符合采购数量规则，还需执行业务范围校验。
相关阅读：XSS与用户内容安全：输出上下文和富文本边界。