API devuelve 200 OK con JSON malformado

gonzaloshop

Hola a todos,

Tengo un problema con un endpoint de API personalizado en mi tienda PrestaShop 8.1.4. Estoy usando un controlador api.php para procesar solicitudes POST y, a veces, mis solicitudes fallan silenciosamente o se comportan de forma inesperada cuando el payload JSON no es válido.

El problema es que, aunque tengo una comprobación para el token (que funciona y devuelve un 401 si es inválido), y en teoría el código verifica si $payload es un array, no estoy recibiendo una respuesta JSON de error específica cuando el JSON recibido en php://input es malformado. Simplemente no se procesa lo que espero.

Esta es la parte inicial de mi función initContent:

function initContent()
    {
        parent::initContent();
        $token = (string) Tools::getValue('token');
        if (!GpsrApiKey::isValid($token)) {
            $this->respondJson(['success' => false, 'error' => 'unauthorized'], 401);

¿Alguien sabe cómo puedo hacer que devuelva un error claro, por ejemplo un 400 Bad Request, si el JSON del cuerpo de la solicitud no es válido?

mateoweb

Hola @gonzaloshop,

Entiendo perfectamente lo que dices, es un clásico en los controladores de API. Por lo que veo en tu snippet, estás validando el token correctamente y respondiendo con un 401 si no es válido. Eso está genial. Sin embargo, parece que la lógica para parsear el cuerpo de la solicitud JSON y validar su formato no está completa o no está devolviendo un error explícito.

Imagino que después de la validación del token, estás leyendo php://input y luego haciendo un json_decode. Si el json_decode falla porque el cuerpo no es JSON válido, por defecto devolverá null (o el objeto stdClass si el segundo parámetro es false). Si no manejas explícitamente este null y el error json_last_error(), entonces $payload no será un array y tu comprobación !is_array($payload) podría pasar desapercibida o simplemente llevar a un código posterior que no espera un null y falle sin dar una respuesta clara al cliente de la API.

Milo

Hola @gonzaloshop,

@mateoweb ha dado en el clavo. El problema es que tu código actual solo maneja la validación del token. Después de obtener el contenido de php://input, necesitas decodificarlo explícitamente y comprobar si la decodificación fue exitosa antes de intentar usar el $payload.

La función json_decode de PHP, cuando falla al parsear una cadena JSON inválida, devuelve null y establece un error que puedes consultar con json_last_error() y json_last_error_msg(). Tu !is_array($payload) es útil, pero debe ir acompañado de una verificación de los errores de json_decode.

Aquí te muestro cómo podrías modificar tu función initContent para manejar esto de manera robusta:

if (!GpsrApiKey::isValid($token)) {
            $this->respondJson(['success' => false, 'error' => 'unauthorized'], 401);
        }
        $rawPayload = file_get_contents('php://input');
        $payload = json_decode($rawPayload, true);
        if (json_last_error() !== JSON_ERROR_NONE || !is_array($payload)) {
            $this->respondJson(['success' => false, 'error' => 'invalid_json_payload'], 400);
        }

Explicación de los cambios:

He añadido el cierre de la llave } para el if del token, que faltaba en tu snippet original.
$rawPayload = file_get_contents('php://input');: Aquí obtienes la cadena cruda del cuerpo de la solicitud.
$payload = json_decode($rawPayload, true);: Decodificamos la cadena. El true asegura que el resultado sea un array asociativo.
if (json_last_error() !== JSON_ERROR_NONE || !is_array($payload)): Esta es la clave. Primero, comprobamos si hubo algún error durante la última operación JSON (es decir, json_decode). Si json_last_error() no es JSON_ERROR_NONE, significa que el JSON estaba malformado. Además, seguimos verificando que $payload sea un array, lo cual cubriría otros casos donde la decodificación podría no dar el formato esperado (aunque json_last_error() es más específico para la validez del JSON).
$this->respondJson(['success' => false, 'error' => 'invalid_json_payload'], 400);: Si alguna de estas condiciones se cumple, respondemos con un error 400 y un mensaje claro para el cliente de la API.

Con esto, tus peticiones POST recibirán una respuesta explícita si el cuerpo JSON no es válido.

gonzaloshop

¡Increíble @Milo! ¡Muchísimas gracias!

He implementado el código que sugeriste en gpsrenterprise/controllers/front/api.php y funciona a la perfección. Ahora recibo un 400 Bad Request con el mensaje invalid_json_payload justo como quería, en lugar de un comportamiento silencioso. Esto me ahorra un montón de tiempo de depuración.

Gracias también a @mateoweb por la pista sobre json_decode y los errores. ¡Excelente ayuda!