Serializavimas kontroliuoja, kaip objektai transformuojami į JSON, siunčiamą atsakymuose — kritiškai svarbu, išskiriant jautrius laukus (pvz., slaptažodžius) ir formuojant išvestį. NestJS tai daro naudodamas ClassSerializerInterceptor ir class-transformer dekoratorius.
()
() {
..(id);
}
Grąžinti duomenų bazės esybės tiesiogiai gali atskleisti laukus, kurie turėtų niekada pasiekti kliento (slaptažodžio hešus, vidinius požymius, žetonus) — tai rimtas saugos/privatumo klausimas.
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
ClassSerializerInterceptor taikoma class-transformer dekoratorius serializuojant atsakymus, todėl @Exclude() laukai automatiškai pašalinami — bet tik jei grąžinate klasės egzempliorius (ne paprasus objektus).
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
Bendroji klaida: serializavimo dekoratoriai veikia tik tikrus klasės egzempliorius, todėl turite grąžinti egzempliorių (ORM esybės paprastai yra egzemplioriai; rankiniu būdu sukonstruoti paprasti objektai reikalingi konversijai).
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
Kontroliuojamas atsakymo serializavimas yra svarbus ir saugai, ir švariam API dizainui.
Pats kritiškiausias priežastis yra jautrių duomenų nutekėjimo prevencija — grąžinti duomenų bazės esybės tiesiogiai gali atskleisti slaptažodžio hešus, vidinius laukus, žetonus ar kitą duomenį, kuris niekada neturi pasiekti klientus, dažna ir rimta pažeidžiamybė.
NestJS ClassSerializerInterceptor su class-transformer dekoratoriais (@Exclude, @Expose, @Transform) suteikia švarų, deklaratyvų būdą formuoti atsakymus — automatiškai pašalinant išskirtus laukus, pervardijant ir transformuojant reikšmes.
Šio supratimas yra esminė kasdieninė žinios bet kokiam API, grąžinančiam vartotojo ar domeno duomenis, o žinojimas pagrindinės gudrybės — kad serializavimas veikia tik klasės egzemplioriuose, o ne paprastuose objektuose (dažnas šaltinis „kodėl slaptažodis vis dar rodomas?