Serialization हे नियंत्रित करते की objects कसे JSON मध्ये response मध्ये रूपांतरित होतात — महत्त्वाचे म्हणजे, sensitive fields (जसे passwords) exclude करून आणि output आकार देऊन. NestJS हे ClassSerializerInterceptor आणि class-transformer decorators द्वारे हाताळते.
// ❌ returning an entity directly leaks the password hash!
@Get(":id")
findOne(@Param("id") id: string) {
return this.usersService.findOne(id); // { id, name, email, password: "$2b$..." } 😱
}
Database entities थेट परत करणे असे fields expose करू शकते जी कधीही client पर्यंत पोहोचू नये (password hashes, internal flags, tokens) — एक गंभीर security/privacy समस्या.
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
ClassSerializerInterceptor responses serialize करताना class-transformer decorators लागू करते, त्यामुळे @Exclude() fields स्वयंचलितपणे हटवल्या जातात — परंतु केवळ तर आपण class instances परत केल्यास (plain objects नाही).
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
एक सामान्य समस्या: serialization decorators केवळ वास्तविक class instances वर काम करतात, त्यामुळे आपल्याला instance परत करायचे आहे (ORM entities सामान्यतः instances आहेत; manually-built plain objects ला conversion आवश्यक आहे).
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
Response serialization नियंत्रित करणे security आणि clean API design दोन्हीसाठी महत्त्वाचे आहे.
सर्वात गंभीर कारण म्हणजे sensitive data leaks प्रतिबंधित करणे — database entities थेट परत करणे password hashes, internal fields, tokens, किंवा इतर data expose करू शकते जी clients पर्यंत कधीही पोहोचू नये, हे एक सामान्य आणि गंभीर vulnerability आहे.
NestJS चा ClassSerializerInterceptor class-transformer decorators (@Exclude, @Expose, @Transform) सह एक स्वच्छ, declarative मार्ग प्रदान करते responses आकार देण्यासाठी — स्वयंचलितपणे excluded fields काढून टाकणे, नामकरण करणे, आणि values रूपांतरित करणे.
हे समजणे कोणत्याही API साठी essential everyday knowledge आहे जे user किंवा domain data परत करते, आणि key gotcha जाणून घेणे — की serialization केवळ class instances वर काम करते, plain objects वर नाही ("password अजूनही दिसत आहे का?" bugs चा वारंवार स्रोत) — हे व्यावहारिकदृष्ट्या महत्त्वाचे आहे.
तितकेच मूल्यवान म्हणजे dedicated response DTOs च्या वैकल्पिक pattern ला ओळखणे (entities ला explicit output classes मध्ये mapping करणे ज्यात केवळ client-safe fields आहेत), जे API contract ला database model पासून decouple करते आणि sensitive data साठी सर्वात सुरक्षित दृष्टिकोन आहे.
Serialization योग्यरित्या नियंत्रित करणे हे secure, well-designed NestJS APIs चे एक hallmark आहे आणि कोणत्याही non-public data हाताळणाऱ्या वास्तविक applications मध्ये वारंवार प्रासंगिक concern आहे.