Как валидировать входящий POST-запрос при создании задачи, например title должен быть строкой длиной не менее трёх символов? Какие инструменты можно использовать?

Проверяйте тип, нормализованную длину и допустимые поля на сервере до создания задачи. Клиентская проверка лишь улучшает UX и не является защитой API.

Например, title должен быть строкой, после trim содержать минимум три символа и иметь верхнюю границу длины. Используйте валидатор или schema-библиотеку вашего стека и единый ответ с ошибками полей. Согласуйте, что значит «символ» для Unicode; авторизация, ограничения тела и безопасная работа с БД проверяются отдельно.