Serializacija kontrolira, kako se objekti transformirajo v JSON, ki se pošlje v odgovorih — zlasti važno je izključevanje občutljivih polj (kot so gesla) in oblikovanje izhoda. NestJS to obdela s ClassSerializerInterceptor in class-transformer dekoratorji.
()
() {
..(id);
}
Neposredno vračanje entitet iz baze podatkov lahko razkrije polja, ki nikoli ne smejo biti poslana klientu (zgoščeni gesleni, notranji zastavice, žetoni) — to je resna varnostna/zasebnostna težava.
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
ClassSerializerInterceptor uporabi class-transformer dekoratorje pri serializaciji odgovorov, zato se polja z @Exclude() avtomatično odstranijo — vendar samo če vrnete instance razredov (ne navadnih objektov).
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
Gospoda napaka: dekoratorji serializacije delujejo samo na dejanskih instancah razredov, zato morate vrniti instanco (ORM entitete so običajno instance; ročno zgrajeni navadni objekti potrebujejo konverzijo).
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
Kontroliranje serializacije odgovorov je važno za varnost in čist dizajn API-ja.
Najkritičnejši razlog je preprečevanje puščanja občutljivih podatkov — neposredno vračanje entitet iz baze podatkov lahko razkrije zgoščena gesla, notranja polja, žetone ali druge podatke, ki nikoli ne smejo biti dosegljivi klientom, kar je pogosta in resna ranljivost.
ClassSerializerInterceptor NestJS-a s class-transformer dekoratorji (@Exclude, @Expose, @Transform) zagotavlja čisten, deklarativen način oblikovanja odgovorov — avtomatsko odstranjevanja izključenih polj, preimenovanja in transformacije vrednosti.
Razumevanje tega je bistvenega pomena za vsakdan delo z vsakim API-jem, ki vrača podatke o uporabnikih ali domeni, poznavanje ključne napake pa — da serializacija deluje samo na instancah razredov, ne na navadnih objektih (pogost vir napak »zakaj je geslo še vedno prikazano?«) — je praktično važno.
Enako dragoceno je prepoznavanje alternativnega vzorca namenske DTO-je za odgovore (mapiranje entitet na eksplicitne izhodne razrede, ki vsebujejo samo podatke, varne za klient), kar ločuje API pogodbo od modela baze podatkov in je najbolj varna pristopa za občutljive podatke.
Pravilno kontroliranje serializacije je značilnost varne, dobro oblikované NestJS API-je in pogosto relevantna skrb v resničnih aplikacijah, ki rokujejo s katerimi koli nepubliciranimi podatki.