Serijalizacija kontrolira kako se objekti transformiraju u JSON koji se šalje u odgovorima — ključno je isključivanje osjetljivih polja (kao što su lozinke) i oblikovanje izlaza. NestJS to upravlja pomoću ClassSerializerInterceptor i dekoratora class-transformer.
()
() {
..(id);
}
Vraćanje entiteta baze podataka izravno može izložiti polja koja nikada ne bi trebala doći do klijenta (hash lozinki, interni zastavice, tokeni) — ozbiljan problem sigurnosti/privatnosti.
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
ClassSerializerInterceptor primjenjuje dekoratore class-transformer pri serijalizaciji odgovora, tako da se polja s @Exclude() automatski uklanjaju — ali samo ako vratite instance klase (ne obične objekte).
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
Česta greška: dekoratori serijalizacije funkcioniraju samo na stvarnim instancama klase, pa morate vratiti instancu (ORM entiteti su obično instance; ručno izgrađeni obični objekti trebaju konverziju).
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
Kontrola serijalizacije odgovora važna je za sigurnost i čist dizajn API-ja.
Najkritiičniji razlog je sprječavanje curenja osjetljivih podataka — vraćanje entiteta baze podataka izravno može izložiti hash lozinki, interna polja, tokene ili druge podatke koji nikada ne smiju doći do klijenta, čest i ozbiljan ranjivost.
ClassSerializerInterceptor u NestJS-u s dekoratorima class-transformer (@Exclude, @Expose, @Transform) pruža čist, deklarativan način oblikovanja odgovora — automatski uklanja isključena polja, preimenovava i transformira vrijednosti.
Razumijevanje ovoga je bitno svakodnevno znanje za bilo koji API koji vraća korisničke ili domenalne podatke, a poznavanje ključne greške — da serijalizacija funkcionira samo na instancama klase, ne na običnim objektima (čest izvor "zašto se lozinka još pokazuje?" bugova) — praktički je važno.
Jednako vrijedna je i prepoznavanje alternativnog obrasca namjenskih response DTO-ova (mapiranja entiteta na eksplicitne klase izlaza koje sadrže samo polja sigurna za klijenta), što odvaja API ugovor od modela baze podataka i najsigurniji je pristup osjetljivim podacima.
Dobra kontrola serijalizacije je značajka sigurnih, dobro dizajniranih NestJS API-ja i često relevantna briga u stvarnim aplikacijama koje barataju bilo kojim nejavnim podacima.