Serialization kiểm soát cách các object được biến đổi thành JSON gửi trong response — quan trọng nhất là loại bỏ các trường nhạy cảm (như mật khẩu) và định hình output. NestJS xử lý điều này với ClassSerializerInterceptor và các decorator class-transformer.
()
() {
..(id);
}
Trả về các database entity trực tiếp có thể phơi bày các trường không bao giờ nên đến client (password hash, cờ nội bộ, token) — một vấn đề bảo mật/riêng tư nghiêm trọng.
import { Exclude } from "class-transformer";
export class User {
id: number;
name: string;
email: string;
@Exclude() // trường này bị LOẠI BỎ khỏi response
password: string;
}
// bật serializer interceptor (toàn cục hoặc theo controller)
@UseInterceptors(ClassSerializerInterceptor)
@Controller("users")
export class UsersController {
@Get(":id")
findOne(@Param("id") id): User {
return this.usersService.findOne(id); // password tự động bị loại bỏ
}
}
// hoặc toàn cục: app.useGlobalInterceptors(new ClassSerializerInterceptor(app.get(Reflector)))
ClassSerializerInterceptor áp dụng các decorator class-transformer khi serialize response, nên các trường @Exclude() tự động bị loại bỏ — nhưng chỉ khi bạn trả về các class instance (không phải object thuần).
export class User {
@Expose() id: number; // bao gồm tường minh (với chiến lược excludeAll)
@Exclude() password: string; // loại bỏ khỏi output
@Expose({ name: "full_name" }) // đổi tên trong output
name: string;
@Transform(({ value }) => value.toUpperCase()) // biến đổi giá trị
code: string;
@Exclude({ toPlainOnly: true }) // loại bỏ chỉ khi serialize RA (không phải khi input)
internalField: string;
}
// ⚠️ interceptor chỉ biến đổi CLASS INSTANCE — object thuần đi qua không đổi
return new User(data); // ✅ decorator áp dụng
return plainToInstance(User, data); // ✅ chuyển một object thuần thành instance
return { ...data }; // ❌ object thuần — @Exclude bị BỎ QUA!
Một cạm bẫy phổ biến: các serialization decorator chỉ hoạt động trên các class instance thực sự, nên bạn phải trả về một instance (các ORM entity thường là instance; các object thuần dựng thủ công cần được chuyển đổi).
Thay vì trang trí entity, ánh xạ tới một Response DTO riêng chứa chỉ các
trường dành cho client — tường minh, tách rời khỏi DB model, và rất an toàn.
Kiểm soát response serialization là quan trọng cho cả bảo mật và thiết kế API sạch sẽ.
Lý do then chốt nhất là ngăn ngừa rò rỉ dữ liệu nhạy cảm — trả về các database entity trực tiếp có thể phơi bày password hash, các trường nội bộ, token, hoặc dữ liệu khác không bao giờ được đến client, một lỗ hổng phổ biến và nghiêm trọng. ClassSerializerInterceptor của NestJS với các decorator class-transformer (@Exclude, @Expose, @Transform) cung cấp một cách sạch sẽ, khai báo để định hình response — tự động loại bỏ các trường bị loại trừ, đổi tên, và biến đổi giá trị.
Hiểu điều này là kiến thức thiết yếu hằng ngày cho bất kỳ API nào trả về dữ liệu người dùng hoặc lĩnh vực, và biết cạm bẫy then chốt — rằng serialization chỉ hoạt động trên class instance, không phải object thuần (một nguồn thường gặp của lỗi "tại sao password vẫn hiện?") — là quan trọng về mặt thực tế.
Quan trọng không kém là nhận ra pattern thay thế của response DTO chuyên dụng (ánh xạ entity tới các class output tường minh chứa chỉ các trường an toàn cho client), vốn tách rời hợp đồng API khỏi database model và là cách tiếp cận an toàn nhất cho dữ liệu nhạy cảm.
Kiểm soát serialization đúng đắn là dấu ấn của các API NestJS an toàn, được thiết kế tốt và là một mối quan tâm thường liên quan trong các ứng dụng thực tế xử lý bất kỳ dữ liệu không công khai nào.