Serileştirme, nesnelerin yanıtlarda gönderilen JSON'a nasıl dönüştürüleceğini kontrol eder — çok önemli olarak, hassas alanları hariç tutar (şifreler gibi) ve çıktıyı şekillendirir. NestJS bunu ClassSerializerInterceptor ve class-transformer dekoratörleri ile yönetir.
()
() {
..(id);
}
Veri tabanı varlıklarını doğrudan döndürmek, hiçbir zaman istemciye ulaşmaması gereken alanları (şifre hashları, dahili bayraklar, tokenler) ortaya çıkarabilir — ciddi bir güvenlik/gizlilik sorunudur.
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // this field is REMOVED from responses
password: string;
}
// enable the serializer interceptor (globally or per-controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password is automatically stripped
}
}
// or globally: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
ClassSerializerInterceptor, yanıtları serileştirirken class-transformer dekoratörlerini uygular, bu nedenle @Exclude() alanları otomatik olarak kaldırılır — ancak sadece sınıf örnekleri döndürürseniz (düz nesneler değil).
export class User {
@Expose() id: number; // explicitly include (with excludeAll strategy)
@Exclude() password: string; // remove from output
@Expose({ name: "full_name" }) // rename in the output
name: string;
@Transform(({ value }) => value.toUpperCase()) // transform the value
code: string;
@Exclude({ toPlainOnly: true }) // exclude only when serializing OUT (not on input)
internalField: string;
}
// ⚠️ the interceptor only transforms CLASS INSTANCES — plain objects pass through unchanged
return new User(data); // ✅ decorators apply
return plainToInstance(User, data); // ✅ convert a plain object to an instance
return { ...data }; // ❌ plain object — @Exclude is IGNORED!
Sık karşılaşılan bir sorun: serileştirme dekoratörleri yalnızca gerçek sınıf örneklerinde çalışır, bu nedenle bir örnek döndürmeniz gerekir (ORM varlıkları genellikle örnektir; manuel olarak oluşturulmuş düz nesneler dönüştürülmesi gerekir).
Instead of decorating entities, map to a separate Response DTO containing only the
fields meant for the client — explicit, decoupled from the DB model, and very safe.
Yanıt serileştirmesini kontrol etmek hem güvenlik hem de temiz API tasarımı için önemlidir.
En kritik neden hassas veri sızmasını önlemektir — veri tabanı varlıklarını doğrudan döndürmek, istemcilere hiçbir zaman ulaşmaması gereken şifre hashlarını, dahili alanları, tokenları veya diğer verileri ortaya çıkarabilir; bu yaygın ve ciddi bir güvenlik açığıdır.
NestJS'in ClassSerializerInterceptor'ı class-transformer dekoratörleri (@Exclude, @Expose, @Transform) ile birlikte kullanılması, yanıtları şekillendirmenin temiz ve deklaratif bir yolunu sağlar — hariç tutulan alanları otomatik olarak çıkarır, yeniden adlandırır ve değerleri dönüştürür.
Bunu anlamak, kullanıcı veya etki alanı verisi döndüren herhangi bir API için günlük gerekli bilgidir ve temel sorunun bilgisi — serileştirme yalnızca sınıf örneklerinde çalışır, düz nesnelerde değil ("şifre hala gösteriliyor mu?" hatalarının sık kaynağı) — pratik olarak önemlidir.
Eşit derecede değerli olan, adanmış yanıt DTO'ları (varlıkları yalnızca istemci açısından güvenli alanlar içeren açık çıktı sınıflarına eşleme) alternatif deseni tanımaktır, bu API sözleşmesini veritabanı modelinden ayırır ve hassas veriler için en güvenli yaklaşımdır.
Serileştirmeyi uygun şekilde kontrol etmek, güvenli ve iyi tasarlanmış NestJS API'lerinin bir ayırt edici özelliğidir ve halka açık olmayan verileri işleyen herhangi bir uygulamada sık karşılaşılan bir endişedir.