Regla
Evitar la recursividad sin profundidad protección.
Recursividad sin adecuada profundidad que limite riesgos apilamiento
desbordamiento y crea DoS vulnerabilidades a entradas
entrada. Recursividad con profundidad profundidad y y límites
los límites comprobación es aceptable.

Compatibilidad con idiomas: 45+

Introducción

Las funciones recursivas sin límites de profundidad pueden agotar la pila de llamadas (call stack), provocando fallos. Entradas maliciosas, como objetos JSON profundamente anidados o estructuras de datos cíclicas, pueden desencadenar intencionadamente una recursión ilimitada. Una única solicitud manipulada puede bloquear su servicio al exceder los límites de la pila, creando una vulnerabilidad de denegación de servicio trivial de explotar.

Por qué es importante

Implicaciones de seguridad (ataques DoS): Los atacantes pueden elaborar entradas que desencadenen una recursión profunda, bloqueando su aplicación. Las estructuras de datos JSON, XML o enlazadas profundamente anidadas son vectores de ataque comunes. Una única solicitud maliciosa agota la pila, interrumpiendo todo el servicio para todos los usuarios.

Estabilidad del sistema: Los errores de desbordamiento de pila (stack overflow) bloquean el proceso inmediatamente sin una degradación elegante. En producción, esto se traduce en solicitudes perdidas, transacciones interrumpidas e indisponibilidad del servicio. La recuperación requiere reiniciar toda la aplicación.

Agotamiento de recursos: La recursión ilimitada consume memoria de pila de forma exponencial. Cada llamada recursiva añade un marco de pila, y las cadenas de recursión profunda pueden consumir megabytes de memoria. Esto afecta a otros procesos en el mismo servidor y puede desencadenar condiciones de falta de memoria.

Ejemplos de código

❌ No conforme:

function processNestedData(obj) {
    if (typeof obj !== 'object' || obj === null) {
        return obj;
    }

    const result = {};
    for (const key in obj) {
        result[key] = processNestedData(obj[key]);
    }
    return result;
}

Por qué es incorrecto: La ausencia de límite de profundidad permite a los atacantes enviar objetos profundamente anidados que exceden los límites de la pila. Entradas como {a: {a: {a: {...}}}} anidado a 10.000 niveles de profundidad provoca el cierre inesperado de la aplicación por desbordamiento de pila. La función recurre ciegamente sin comprobar la profundidad.

✅ Conforme:

function processNestedData(obj, depth = 0, maxDepth = 100) {
    if (depth > maxDepth) {
        throw new Error('Maximum nesting depth exceeded');
    }

    if (typeof obj !== 'object' || obj === null) {
        return obj;
    }

    const result = {};
    for (const key in obj) {
        result[key] = processNestedData(obj[key], depth + 1, maxDepth);
    }
    return result;
}

¿Por qué esto importa? El profundidad máxima el parámetro limita la recursión a 100 niveles, evitando el desbordamiento de pila. Este límite es lo suficientemente alto para estructuras de datos anidadas legítimas (la mayoría de los datos del mundo real rara vez superan los 10-20 niveles) mientras que es lo suficientemente bajo para detener los ataques antes de consumir una cantidad significativa de memoria de pila. Una entrada maliciosa profundamente anidada lanza un error en lugar de bloquear la aplicación. La comprobación de profundidad se realiza antes del procesamiento, fallando rápidamente cuando se superan los límites.

Conclusión

Añade parámetros de profundidad a todas las funciones recursivas que procesan datos externos. Establece profundidades máximas razonables basándose en la complejidad esperada de la estructura de datos. Lanza errores o devuelve valores predeterminados cuando se excedan los límites de profundidad en lugar de provocar un fallo.