La validation des entrées vérifie, avant tout traitement, que le corps, les paramètres et la chaîne de requête respectent le format attendu : présence, type, bornes. On ne fait jamais confiance au client. Une bibliothèque de schémas comme Zod, ou un middleware dédié, rejette les requêtes invalides avec un code 400 ou 422.
Exemple
const parsed = schema.safeParse(req.body);
if (!parsed.success) return res.status(400).json(parsed.error);