আপনি NestJS-এ রেসপন্স সিরিয়ালাইজেশন কীভাবে নিয়ন্ত্রণ করেন?

Question

Accepted Answer

**সিরিয়ালাইজেশন** নিয়ন্ত্রণ করে কীভাবে অবজেক্টগুলি রেসপন্সে পাঠানো JSON-এ রূপান্তরিত হয় — গুরুত্বপূর্ণভাবে, **সংবেদনশীল ফিল্ডগুলি বাদ দেয়** (যেমন পাসওয়ার্ড) এবং আউটপুটকে আকার দেয়। NestJS এটি `ClassSerializerInterceptor` এবং `class-transformer` ডেকোরেটরের সাথে পরিচালনা করে।

## সমস্যা: সংবেদনশীল ডেটা ফাঁস করা

```ts
// ❌ returning an entity directly leaks the password hash!
@Get(":id")
findOne(@Param("id") id: string) {
  return this.usersService.findOne(id);   // { id, name, email, password: "$2b$..." } 😱
}
```

ডেটাবেস এন্টিটিগুলি সরাসরি ফেরত দেওয়া এমন ফিল্ডগুলি প্রকাশ করতে পারে যা কখনও ক্লায়েন্টের কাছে পৌঁছানো উচিত নয় (পাসওয়ার্ড হ্যাশ, অভ্যন্তরীণ ফ্ল্যাগ, টোকেন) — একটি গুরুতর নিরাপত্তা/গোপনীয়তা সমস্যা।

## সমাধান: @Exclude এবং ClassSerializerInterceptor

```ts
import { Exclude } from "class-transformer";

export class User {
  id: number;
  name: string;
  email: string;

@Exclude()                    // this field is REMOVED from responses
  password: string;
}
```

```ts
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
  @Get(":id")
  findOne(@Param("id") id): User {
    return this.usersService.findOne(id);   // password is automatically stripped
  }
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
```

`ClassSerializerInterceptor` রেসপন্স সিরিয়ালাইজ করার সময় `class-transformer` ডেকোরেটর প্রয়োগ করে, তাই `@Exclude()` ফিল্ডগুলি স্বয়ংক্রিয়ভাবে সরানো হয় — তবে **শুধুমাত্র যদি আপনি ক্লাস ইনস্ট্যান্স ফেরত দেন** (সাধারণ অবজেক্ট নয়)।

## আরও ট্রান্সফরমেশন ডেকোরেটর

```ts
export class User {
  @Expose()  id: number;          // explicitly include (with excludeAll strategy)
  @Exclude() password: string;     // remove from output

@Expose({ name: "full_name" })   // rename in the output
  name: string;

@Transform(({ value }) => value.toUpperCase())   // transform the value
  code: string;

@Exclude({ toPlainOnly: true })  // exclude only when serializing OUT (not on input)
  internalField: string;
}
```

## অবশ্যই ক্লাস ইনস্ট্যান্স ফেরত দিতে হবে

```ts
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data);                 // ✅ decorators apply
return plainToInstance(User, data);     // ✅ convert a plain object to an instance
return { ...data };                     // ❌ plain object — @Exclude is IGNORED!
```

একটি সাধারণ সমস্যা: সিরিয়ালাইজেশন ডেকোরেটরগুলি শুধুমাত্র প্রকৃত ক্লাস ইনস্ট্যান্সে কাজ করে, তাই আপনাকে একটি ইনস্ট্যান্স ফেরত দিতে হবে (ORM এন্টিটিগুলি সাধারণত ইনস্ট্যান্স; ম্যানুয়ালি নির্মিত সাধারণ অবজেক্টগুলির রূপান্তর প্রয়োজন)।

## বিকল্প: নিবেদিত রেসপন্স DTOs

```text
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
```

## এটি কেন গুরুত্বপূর্ণ

রেসপন্স সিরিয়ালাইজেশন নিয়ন্ত্রণ করা **নিরাপত্তা** এবং পরিষ্কার API ডিজাইন উভয়ের জন্যই গুরুত্বপূর্ণ।

সবচেয়ে গুরুত্বপূর্ণ কারণ হল **সংবেদনশীল ডেটা ফাঁস প্রতিরোধ করা** — ডেটাবেস এন্টিটিগুলি সরাসরি ফেরত দেওয়া পাসওয়ার্ড হ্যাশ, অভ্যন্তরীণ ফিল্ড, টোকেন বা অন্যান্য ডেটা প্রকাশ করতে পারে যা ক্লায়েন্টদের কাছে পৌঁছানো উচিত নয়, এটি একটি সাধারণ এবং গুরুতর দুর্বলতা।

NestJS-এর `ClassSerializerInterceptor` এবং `class-transformer` ডেকোরেটর (`@Exclude`, `@Expose`, `@Transform`) একটি পরিষ্কার, ঘোষণামূলক উপায় প্রদান করে রেসপন্স আকার দিতে — স্বয়ংক্রিয়ভাবে বাদ দেওয়া ফিল্ডগুলি সরিয়ে, নাম পরিবর্তন করে এবং মানগুলি রূপান্তরিত করে।

এটি বোঝা যেকোনো API-এর জন্য প্রতিদিনের অপরিহার্য জ্ঞান যা ব্যবহারকারী বা ডোমেইন ডেটা ফেরত দেয়, এবং মূল সমস্যাটি জানা — যে **সিরিয়ালাইজেশন শুধুমাত্র ক্লাস ইনস্ট্যান্সে কাজ করে, সাধারণ অবজেক্টে নয়** ("পাসওয়ার্ড এখনও দেখাচ্ছে কেন?" বাগের একটি ঘন ঘন উৎস) — ব্যবহারিকভাবে গুরুত্বপূর্ণ।

সমানভাবে মূল্যবান হল **নিবেদিত রেসপন্স DTOs** প্যাটার্ন স্বীকার করা (এন্টিটিগুলিকে শুধুমাত্র ক্লায়েন্ট-নিরাপদ ফিল্ড সম্বলিত স্পষ্ট আউটপুট ক্লাসে ম্যাপিং করা), যা API চুক্তিকে ডেটাবেস মডেল থেকে আলাদা করে এবং সংবেদনশীল ডেটার জন্য সবচেয়ে নিরাপদ পদ্ধতি।

সঠিকভাবে সিরিয়ালাইজেশন নিয়ন্ত্রণ করা সুরক্ষিত, সু-ডিজাইন করা NestJS APIs-এর একটি বৈশিষ্ট্য এবং যেকোনো অ-জনসাধারণের ডেটা পরিচালনাকারী বাস্তব অ্যাপ্লিকেশনে একটি ঘন ঘন প্রাসঙ্গিক উদ্বেগ।