Serialization ले objects लाई responses मा पठाइने JSON मा कसरी transform गरिन्छ भनेर नियन्त्रण गर्दछ — महत्वपूर्ण कुरा, sensitive fields (जस्तै passwords) exclude गरेर र output लाई shape गरेर। NestJS ले यो ClassSerializerInterceptor र class-transformer decorators सँग हान्छ।
// ❌ returning an entity directly leaks the password hash!
@Get(":id")
findOne(@Param("id") id: string) {
return this.usersService.findOne(id); // { id, name, email, password: "$2b$..." } 😱
}
Database entities लाई सीधै return गर्नुले ऐसा fields expose गर्न सक्छ जो कहिले पनि client मा पुग्नु हुँदैन (password hashes, internal flags, tokens) — एक गम्भीर security/privacy समस्या।
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
ClassSerializerInterceptor ले responses serialize गर्दा class-transformer decorators apply गर्दछ, त्यसैले @Exclude() fields स्वचालित रूपमा हटाइन्छ — तर केवल यदि तपाई class instances return गर्नुहुन्छ भने (plain objects होइन)।
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
एक साधारण समस्या: serialization decorators केवल actual class instances मा काम गर्दछ, त्यसैले तपाईले instance return गर्नु पर्दछ (ORM entities सामान्यतः instances हुन्छन्; manually-built plain objects लाई conversion चाहिन्छ)।
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
Response serialization नियन्त्रण गर्नु दुवै security र clean API design को लागि महत्वपूर्ण छ।
सबैभन्दा महत्वपूर्ण कारण भनेको sensitive data leaks रोक्नु हो — database entities लाई सीधै return गर्नुले password hashes, internal fields, tokens, वा अन्य data expose गर्न सक्छ जो clients मा कहिले पनि पुग्नु हुँदैन, एक साधारण र गम्भीर vulnerability।
NestJS को ClassSerializerInterceptor सँग class-transformer decorators (@Exclude, @Expose, @Transform) ले एक clean, declarative तरिका प्रदान गर्दछ responses लाई shape गर्न — स्वचालित रूपमा excluded fields हटाएर, rename गरेर, र values लाई transform गरेर।
यो समझ्नु कुनै पनि API को लागि everyday knowledge हो जो user वा domain data return गर्दछ, र key gotcha जान्नु महत्वपूर्ण छ — कि serialization केवल class instances मा काम गर्दछ, plain objects मा होइन (यो "किन password अभी पनि देखिइरहेको छ?" bugs को बारम्बार स्रोत हो) — यो व्यावहारिक रूपमा महत्वपूर्ण छ।
बराबरको मूल्य भनेको dedicated response DTOs को वैकल्पिक pattern को सम्भाव्यता (entities लाई explicit output classes मा map गरेर जसमा केवल client-safe fields छन्), जसले API contract लाई database model बाट अलग गर्दछ र sensitive data को लागि सबैभन्दा सुरक्षित दृष्टिकोण हो।
Serialization लाई सही रूपमा नियन्त्रण गर्नु secure, well-designed NestJS APIs को एक hallmark हो र कुनै पनि non-public data हान्डल गर्ने real applications मा बारम्बार सम्बन्धित चिन्ता हो।