სერიალიზაცია აკონტროლებს თუ როგორი ტრანსფორმაცია ხდება ობიექტების JSON-ში კონვერტირებისას — კრიტიკულად, მგრძნობიარე ველების გამორიცხვით (მაგ: პაროლები) და გამოშვების ფორმირებით. NestJS ამას ClassSerializerInterceptor-ით და class-transformer დეკორატორებით გამოიყენებს.
()
() {
..(id);
}
ბაზის ელემენტების პირდაპირი დაბრუნება შეიძლება აჩენდეს ველებს, რომლებიც არასოდეს უნდა მივიდეს კლიენტის თან (პაროლის ჰეშები, შიდა დროშები, ტოკენები) — სერიოზული უსაფრთხოების/კერძოობის საკითხი.
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
ClassSerializerInterceptor გამოიყენებს class-transformer დეკორატორებს პასუხის სერიალიზაციისას, ამიტომ @Exclude() ველები ავტომატურად იშლება — მაგრამ მხოლოდ თუ დააბრუნებთ კლასის ინსტანციებს (არა უბრალო ობიექტებს).
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
ბეჭდი: სერიალიზაციის დეკორატორები მხოლოდ ნამდვილ კლასის ინსტანციებზე მუშაობენ, ამიტომ უნდა დაბრუნოთ ინსტანცია (ORM ელემენტები ჩვეულებრივ ინსტანციებია; ხელით აშენებული უბრალო ობიექტები კონვერტაციის საჭიროებელია).
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
პასუხის სერიალიზაციის აკონტროლება მნიშვნელოვანია უსაფრთხოებისა და წმინდა API დიზაინის მხრივ.
ყველაზე კრიტიკული მიზეზი არის მგრძნობიარე მონაცემის გაჟონვის აღკვეთა — ბაზის ელემენტების პირდაპირი დაბრუნება შეიძლება გამოამჟღავნოს პაროლის ჰეშები, შიდა ველები, ტოკენები ან სხვა მონაცემები, რომელიც არასოდეს უნდა მივიდეს კლიენტამდე, რაც სერიოზული და ხშირი სიმსუბუქეა.
NestJS-ის ClassSerializerInterceptor class-transformer დეკორატორებთან (@Exclude, @Expose, @Transform) უზრუნველყოფს სუფთა, დეკლარაციული საშუალებას პასუხების ფორმირებისთვის — ავტომატურად მორიცხავს გამორიცხულ ველებს, გადაკეთებს სახელებს და ტრანსფორმირებს მნიშვნელობებს.
ამის გაგება ყოველდღიური ცოდნაა ნებისმიერი API-სთვის, რომელიც ბრუნებს მომხმარებელს ან დომენის მონაცემებს, და ღირსშესანიშნავი გოტჩა ცოდნა — რომ სერიალიზაცია მხოლოდ კლასის ინსტანციებზე მუშაობს, არა უბრალო ობიექტებზე (ხშირი წყარო "რატომ გამოჩნდება პაროლი კვლავ?" შეცდომებისა) — პრაქტიკულად მნიშვნელოვანია.
თანაბრად ღირსშესანიშნავი არის დამხმარე პასუხის DTO-ების შაბლონის აღიარება (ელემენტების რუკაკი გამოსახული გამომთხოველი კლასებში, რომელიც შეიცავს მხოლოდ კლიენტისთვის უსაფრთხო ველებს), რომელიც განცალკევებს API კონტრაქტს ბაზის მოდელიდან და არის უსაფრთხოესი მხრდამჭერი მგრძნობიარე მონაცემებისთვის.
სერიალიზაციის სწორი აკონტროლება წარმოადგენს უსაფრთხო, კარგად დიზაინის NestJS API-ის ნიშანს და ხშირად დამახასიათებელი მხრდამჭერია რეალურ აპლიკაციებში, რომელიც მუშაობს რომელიმე არაჯამური მონაცემებთან.