Serializzazzjoni tikontolla kif l-objekti jiġu trasformati fil-JSON li jitħekkel f-risponsi — kruċjalment, billi jeqlu l-kampi sensittivi (bħal passwords) u tifforma l-output. NestJS tħaddem dan bis-ClassSerializerInterceptor u d-dekoraturi ta' class-transformer.
()
() {
..(id);
}
It-twir tal-entitajiet tad-database direttament jista' juża kampi li ma jridux qatt jilħqu l-klijent (hash ta' passwords, flags interni, tokens) — kwistjoni serja tas-sigurezza/privatezza.
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
Il-ClassSerializerInterceptor tapplika d-dekoraturi ta' class-transformer meta tiserjalizza r-risponsi, allura l-kampi ta' @Exclude() jiġu rimossi awtomatikament — imma biss jekk tirritorna istanzi tal-klassi (mhux oġġetti ordinari).
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
Gotcha komuni: id-dekoraturi ta' serializzazzjoni jaħdmu biss fuq istanzi attwali tal-klassi, allura irrid tirritorna instanza (l-entitajiet ORM normalment huma istanzi; oġġetti ordinari mibnjija manwalment jeħtieġu konverżjoni).
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
It-tikkontroll tas-serializzazzjoni tal-ispons huwa importanti kemm għas-sigurezza kif ukoll għal disinn API ċar. "); l-raġuni l-aktar kritika hija l-prevenzjoni ta' tixhed ta' dejta sensittiva — it-twir tal-entitajiet tad-database direttament jista' juża hash ta' passwords, kampi interni, tokens, jew dejta oħra li ma jridux qatt jilħqu l-klijenti, vulnerabilità komuni u serja.
Il-ClassSerializerInterceptor ta' NestJS mal-dekoraturi ta' class-transformer (@Exclude, @Expose, @Transform) jipprovdu mod ċar u deklarattiv biex tifforma r-risponsi — awtomatikament tneħħi l-kampi esklużi, tgħaddi ismijiet, u ttrasforma valuri.
L-għarfien ta' dan huwa għarfien essenzjali ta' kuljum għal kwalsidir API li tirritorna dejta ta' utent jew dominju, u l-għarfien tal-gotcha prinċipali — li serializzazzjoni taħdem biss fuq istanzi tal-klassi, mhux oġġetti ordinari (sors frekwenti ta' bugs "għaliex il-password għadu jintwera?") — huwa importanti prattikament.
Egwalment valwuż huwa r-rikonoxximent tal-mudell alternattiv ta' DTOs ta' rispons dedikati (mapping ta' entitajiet għal klassijiet tal-output espliċiti li fihom biss kampi siguri għall-klijent), li jiffdikk l-kuntratt tal-API mil-mudell tad-database u huwa l-approċċ l-aktar sigur għal dejta sensittiva.
It-tikkontrolla korrettament tas-serializzazzjoni hija sinjal ta' APIs NestJS siguri u tajbin-disinn u kwistjoni ta' ħtigieġ frequenti fi applikazzjonijiet reali li tħaddem dejta li mhix pubblika.