Σειριοποίηση ελέγχει τον τρόπο με τον οποίο τα αντικείμενα μετασχηματίζονται στο JSON που αποστέλλεται σε απόκρισες — σημαντικά, αποκλείοντας ευαίσθητα πεδία (όπως κωδικοί πρόσβασης) και διαμορφώνοντας την έξοδο. Το NestJS το χειρίζεται με το ClassSerializerInterceptor και τους διακοσμητές class-transformer.
// ❌ returning an entity directly leaks the password hash!
@Get(":id")
findOne(@Param("id") id: string) {
return this.usersService.findOne(id); // { id, name, email, password: "$2b$..." } 😱
}
Η απευθείας επιστροφή οντοτήτων βάσης δεδομένων μπορεί να εκθέσει πεδία που δεν θα έπρεπε ποτέ να φτάσουν στον πελάτη (κατακερματισμούς κωδικών πρόσβασης, εσωτερικές σημαίες, tokens) — ένα σοβαρό ζήτημα ασφάλειας/απορρήτου.
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
Το ClassSerializerInterceptor εφαρμόζει διακοσμητές class-transformer κατά τη σειριοποίηση απόκρισης, οπότε τα πεδία @Exclude() αφαιρούνται αυτόματα — αλλά μόνο αν επιστρέψετε στιγμιότυπα κλάσης (όχι απλά αντικείμενα).
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
Ένα κοινό πρόβλημα: οι διακοσμητές σειριοποίησης λειτουργούν μόνο σε πραγματικά στιγμιότυπα κλάσης, οπότε πρέπει να επιστρέψετε ένα στιγμιότυπο (οι οντότητες ORM είναι συνήθως στιγμιότυπα· τα χειροχτιστά απλά αντικείμενα χρειάζονται μετατροπή).
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
Ο έλεγχος της σειριοποίησης απόκρισης είναι σημαντικός για την ασφάλεια και τη σχεδίαση καθαρού API.
Ο πιο κρίσιμος λόγος είναι η πρόληψη διαρροών ευαίσθητων δεδομένων — η απευθείας επιστροφή οντοτήτων βάσης δεδομένων μπορεί να εκθέσει κατακερματισμούς κωδικών πρόσβασης, εσωτερικά πεδία, tokens, ή άλλα δεδομένα που δεν πρέπει ποτέ να φτάσουν στους πελάτες, μια κοινή και σοβαρή ευπάθεια.
Το ClassSerializerInterceptor του NestJS με διακοσμητές class-transformer (@Exclude, @Expose, @Transform) παρέχει έναν καθαρό, δηλωτικό τρόπο για να διαμορφώσετε απόκρισες — αυτόματα αφαιρώντας εξαιρεμένα πεδία, μετονομάζοντας, και μετασχηματίζοντας τιμές.
Η κατανόηση αυτού είναι απαραίτητη γνώση για κάθε API που επιστρέφει δεδομένα χρήστη ή τομέα, και η γνώση του κύριου προβλήματος — ότι η σειριοποίηση λειτουργεί μόνο σε στιγμιότυπα κλάσης, όχι σε απλά αντικείμενα (μια συχνή πηγή του "γιατί ο κωδικός πρόσβασης εξακολουθεί να εμφανίζεται;" σφάλματα) — είναι πρακτικά σημαντική.
Εξίσου πολύτιμη είναι η αναγνώριση του εναλλακτικού προτύπου των αποκλειστικών DTOs απόκρισης (αντιστοίχιση οντοτήτων σε ρητές κλάσεις εξόδου που περιέχουν μόνο πεδία ασφαλή για πελάτες), η οποία αποσυνδέει το συμβόλαιο API από το μοντέλο βάσης δεδομένων και είναι η ασφαλέστερη προσέγγιση για ευαίσθητα δεδομένα.
Ο σωστός έλεγχος της σειριοποίησης είναι ένα σημάδι ασφαλών, καλά σχεδιασμένων API του NestJS και ένα συχνά σχετικό ζήτημα σε πραγματικές εφαρμογές που χειρίζονται δεδομένα που δεν είναι δημόσια.