Serialisaatio ohjaa objektien muuntamista JSON-muotoon, joka lähetetään vasteissa — ratkaisevasti poissulkemalla herkkiä kenttiä (kuten salasanoja) ja muokkaamalla tulostetta. NestJS käsittelee tämän ClassSerializerInterceptor-välittäjän ja class-transformer-dekoraattoreiden avulla.
()
() {
..(id);
}
Tietokantaentiteettien palauttaminen suoraan voi paljastaa kenttiä, joita ei koskaan pitäisi lähettää asiakkaalle (salasanaHashit, sisäiset liput, tokenid) — vakava tietoturva- ja yksityisyysongelma.
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
ClassSerializerInterceptor soveltaa class-transformer-dekoraattoreita serialisoidessaan vastauksia, joten @Exclude()-kentät poistetaan automaattisesti — mutta vain jos palautat luokkainstansseja (ei tavallisia objekteja).
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
Yleinen virhe: serialisaatiodekoraattorit toimivat vain todellisissa luokkainstansseissa, joten sinun täytyy palauttaa instanssi (ORM-entiteetit ovat yleensä instansseja; manuaalisesti rakennetut tavalliset objektit tarvitsevat muuntamista).
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
Vasteenserialisaation hallinta on tärkeää sekä turvallisuuden että siistin API-suunnittelun kannalta.
Kriittisin syy on herkkien tietojen vuotamisen estäminen — tietokantaentiteettien palauttaminen suoraan voi paljastaa salasanaHashit, sisäiset kentät, tokenid tai muut tiedot, jotka eivät saa ikinä päästä asiakkaille, mikä on yleinen ja vakava haavoittuvuus.
NestJS:n ClassSerializerInterceptor class-transformer-dekoraattoreiden kanssa (@Exclude, @Expose, @Transform) tarjoaa siistin, deklaratiivisen tavan muokata vastauksia — poissuljettujen kenttien automaattisesti poistamisen, uudelleennimeämisen ja arvojen muuntamisen.
Tämän ymmärtäminen on olennaista päivittäistä tietoa jokaisen käyttäjä- tai verkkotunnistiedettaa palauttavan API:n kannalta, ja kriittisen virheen tunteminen — että serialisaatio toimii vain luokkainstansseilla, ei tavallisilla objekteilla (usein esiintyvä "miksi salasana näkyy edelleen?" -virheiden lähde) — on käytännöllisesti tärkeää.
Yhtä arvokasta on tunnistaa erityisten vastausDTO:iden vaihtoehtoinen malli (entiteettien kartoittaminen eksplisiittisiin tulostusluokkiin, jotka sisältävät vain asiakkaalle turvallisia kenttiä), mikä irrottaa API-sopimuksen tietokantamallista ja on turvallisimpia lähestymistapoja herkkiä tietoja varten.
Oikea serialisaation hallinta on turvallisten ja hyvin suunniteltujen NestJS-API:en tunnusmerkki ja säännöllisesti relevantti huolenaihe sovelluksissa, joissa käsitellään mitä tahansa ei-julkista tietoa.