Serialisasi mengawal cara objek diubah menjadi JSON yang dihantar dalam respons — yang penting, mengecualikan medan sensitif (seperti kata laluan) dan membentuk output. NestJS mengendalikan ini dengan ClassSerializerInterceptor dan decorator class-transformer.
()
() {
..(id);
}
Mengembalikan entiti pangkalan data secara langsung boleh mendedahkan medan yang tidak sepatutnya sampai kepada klien (hash kata laluan, flag dalaman, token) — satu isu keselamatan/privasi yang serius.
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
ClassSerializerInterceptor menerapkan decorator class-transformer semasa menserialisasikan respons, jadi medan @Exclude() dibuang secara automatik — tetapi hanya jika anda mengembalikan instance kelas (bukan objek biasa).
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
Satu gotcha biasa: decorator serialisasi hanya berfungsi pada instance kelas sebenar, jadi anda mesti mengembalikan instance (entiti ORM biasanya instance; objek biasa yang dibina secara manual memerlukan penukaran).
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
Mengawal serialisasi respons adalah penting untuk kedua-dua keselamatan dan reka bentuk API yang bersih.
Sebab paling kritikal ialah mencegah kebocoran data sensitif — mengembalikan entiti pangkalan data secara langsung boleh mendedahkan hash kata laluan, medan dalaman, token, atau data lain yang tidak boleh sampai kepada klien, satu kerentanan biasa dan serius.
ClassSerializerInterceptor NestJS dengan decorator class-transformer (@Exclude, @Expose, @Transform) menyediakan cara yang bersih dan deklaratif untuk membentuk respons — secara automatik membuang medan yang dikecualikan, menamakan semula, dan mengubah nilai.
Memahami ini ialah pengetahuan harian yang penting untuk mana-mana API yang mengembalikan data pengguna atau domain, dan mengetahui gotcha utama — bahawa serialisasi hanya berfungsi pada instance kelas, bukan objek biasa (sumber kerap bagi pepijat "kenapa kata laluan masih terpapar?") — adalah penting secara praktikal.
Sama berharganya ialah mengenali corak alternatif DTO respons khusus (memetakan entiti kepada kelas output eksplisit yang hanya mengandungi medan selamat untuk klien), yang menyahgandingkan kontrak API daripada model pangkalan data dan merupakan pendekatan paling selamat untuk data sensitif.
Mengawal serialisasi dengan betul ialah ciri khas API NestJS yang selamat dan direka dengan baik serta merupakan kebimbangan yang kerap relevan dalam aplikasi sebenar yang mengendalikan sebarang data bukan awam.