Serialization यह control करता है कि objects को responses में भेजे जाने वाले JSON में कैसे transform किया जाता है — महत्वपूर्ण रूप से, sensitive fields को exclude करना (जैसे passwords) और output को shape करना। NestJS इसे ClassSerializerInterceptor और class-transformer decorators के साथ handle करता है।
// ❌ returning an entity directly leaks the password hash!
(":id")
findOne(("id") id: string) {
return this.usersService.findOne(id); // { id, name, email, password: "$2b$..." } 😱
}
database entities को सीधे return करने से ऐसे fields expose हो सकते हैं जो कभी client तक नहीं पहुँचने चाहिए (password hashes, internal flags, tokens) — एक गंभीर security/privacy समस्या।
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
ClassSerializerInterceptor responses को serialize करते समय class-transformer decorators लागू करता है, इसलिए @Exclude() fields automatically हटा दिए जाते हैं — लेकिन केवल तभी जब आप class instances return करें (plain objects नहीं)।
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
एक common gotcha: serialization decorators केवल actual class instances पर काम करते हैं, इसलिए आपको एक instance return करना होगा (ORM entities आमतौर पर instances होती हैं; manually बनाए गए plain objects को conversion की ज़रूरत होती है)।
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
response serialization को control करना security और साफ-सुथरे API design दोनों के लिए महत्वपूर्ण है।
सबसे critical कारण sensitive data leaks को रोकना है — database entities को सीधे return करने से password hashes, internal fields, tokens, या अन्य data expose हो सकते हैं जो कभी clients तक नहीं पहुँचने चाहिए, एक common और गंभीर vulnerability।
NestJS का ClassSerializerInterceptor class-transformer decorators (@Exclude, @Expose, @Transform) के साथ responses को shape करने का एक साफ, declarative तरीका प्रदान करता है — automatically excluded fields हटाना, rename करना, और values को transform करना।
इसे समझना किसी भी API के लिए आवश्यक रोज़मर्रा का ज्ञान है जो user या domain data return करता है, और मुख्य gotcha जानना — कि serialization केवल class instances पर काम करता है, plain objects पर नहीं ("password अभी भी क्यों दिख रहा है?" bugs का एक बारंबार स्रोत) — व्यावहारिक रूप से महत्वपूर्ण है।
समान रूप से मूल्यवान है dedicated response DTOs के alternative pattern को पहचानना (entities को explicit output classes में map करना जिनमें केवल client-safe fields हों), जो API contract को database model से decouple करता है और sensitive data के लिए सबसे सुरक्षित approach है।
serialization को सही ढंग से control करना secure, well-designed NestJS APIs की पहचान है और किसी भी non-public data को handle करने वाली real applications में एक बारंबार-प्रासंगिक चिंता है।