Excluir campos sensibles con ClassTransformer

Contenido del curso

Fundamentos y Primer CRUD

Base de Datos y Persistencia con TypeORM

Autenticación y Autorización

Tu API Completa

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:004:13

Excluir campos sensibles con ClassTransformer

Curso de Backend con NestJS

Clase 25 de 35

Clase 25 / 35

Recursos

Cuando construyes una API en NestJS, proteger el password con hashing no basta: también necesitas evitar que ese campo viaje en las respuestas. Aquí entra la serialización, una práctica clave para devolver solo la información que tu cliente debe ver.

La idea es simple. Aunque ya guardes contraseñas con hashing, exponerlas en el JSON de respuesta sigue siendo un riesgo y un ruido innecesario. Serializar significa transformar la salida de tus entidades, y eso incluye excluir campos sensibles antes de que lleguen al cliente.

¿Qué significa serializar datos en una API NestJS?

Serializar es el proceso de transformar los valores de una entidad antes de devolverlos en la respuesta. Esa transformación puede incluir convertir tipos, ajustar formatos o, como en este caso, excluir columnas que no deberían salir nunca.

¿Qué es serializar en una API? Es transformar la salida de tus datos antes de enviarlos al cliente, lo que permite ocultar campos sensibles como el password sin tocar la base de datos.

En NestJS, esta tarea la hace el ClassTransformer, el mismo paquete que se instala junto al ClassValidator cuando configuras validaciones. Ya lo tienes ahí, solo falta activarlo.

¿Cómo uso el decorador Exclude para ocultar el password?

El primer paso vive en tu entity. Importas Exclude desde class-transformer y lo colocas como decorador encima de la columna que quieres ocultar.

ts import { Exclude } from 'class-transformer';

@Entity() export class User { // otras columnas

@Exclude() @Column() password: string; }

Con eso le dices a NestJS: "cada vez que serialices esta entidad, deja fuera el password". Pero si pruebas el endpoint en Postman en este punto, vas a ver que el campo sigue apareciendo. Falta habilitar la transformación a nivel global.

¿Por qué el decorador Exclude no funciona solo?

Porque el decorador es una marca, no un ejecutor. NestJS necesita saber que debe correr el ClassTransformer en cada respuesta. Eso se configura en el archivo main.ts con dos piezas: las opciones de transformación y un interceptor global.

¿Cómo configuro ClassSerializerInterceptor de forma global?

En tu main.ts ya deberías tener un ValidationPipe con transform: true. Ahora le agregas transformOptions para habilitar las conversiones implícitas y registras el ClassSerializerInterceptor para toda la aplicación.

ts import { ValidationPipe, ClassSerializerInterceptor } from '@nestjs/common'; import { Reflector } from '@nestjs/core';

app.useGlobalPipes( new ValidationPipe({ transform: true, transformOptions: { enableImplicitConversion: true, }, }), );

app.useGlobalInterceptors( new ClassSerializerInterceptor(app.get(Reflector)), );

El ClassSerializerInterceptor viene de @nestjs/common y necesita una instancia de Reflector, que obtienes desde @nestjs/core. Con esa configuración, NestJS aplica la serialización en cada respuesta sin que tengas que tocar nada más.

¿Qué hace ClassSerializerInterceptor en NestJS? Intercepta las respuestas de tus controllers y aplica las reglas de class-transformer, como @Exclude(), sobre cualquier entidad que devuelvas.

¿Por qué excluir a nivel de entidad ahorra tanto trabajo?

Aquí está lo interesante: al colocar @Exclude() en la entity y registrar el interceptor de forma global, no necesitas ir endpoint por endpoint removiendo el password a mano.

Cualquier punto de tu API que retorne la entidad User aplicará la exclusión automáticamente. Esto vale para varios casos típicos:

El endpoint que lista todos los usuarios deja de mostrar el password.
El getUser que trae uno por id también lo oculta.
El create, al devolver el usuario recién guardado, responde sin el campo sensible.

La razón es que todas esas operaciones pasan por el repository de TypeORM, y el repository siempre se apoya en la entity. Si la entity tiene el @Exclude(), la regla se aplica en cascada.

¿Qué pasa cuando creo un usuario nuevo?

Si haces un POST para crear, por ejemplo, un "usuario cinco", el flujo interno usa create, save y findOne del repository. Como el resultado final es una instancia de la entity User, el interceptor la serializa antes de responder y el password desaparece del JSON.

Este patrón te da una capa de seguridad consistente: la entidad define qué se expone y qué no, y la API entera respeta esa decisión sin código repetido. Si más adelante quieres ocultar otro campo, basta con agregar @Exclude() en la columna correspondiente.

¿Has tenido que limpiar respuestas campo por campo en proyectos anteriores? Cuéntame en los comentarios cómo manejabas la serialización antes de conocer este patrón.

Fundamentos y Primer CRUD

Crea una API RESTful con NestJS

Instalación del CLI de NestJS y primer proyecto con API

Creación de endpoints dinámicos para consultar usuarios en NestJS

Operaciones CRUD en APIs REST con Postman

Método PUT para actualizar usuarios con ID automático

Manejo de status codes HTTP en NestJS

DTOs y validación automática de datos en APIs con NestJS

Servicios y lógica de negocio en NestJS

Variables de entorno seguras en NestJS

Programación modular en NestJS con UserModule

Base de Datos y Persistencia con TypeORM

Configuración de PostgreSQL con Docker y Docker Compose

Configuración de PostgreSQL con TypeORM en aplicaciones NestJS

Creación de entidades ORM con decoradores en TypeScript

Repository Pattern con TypeORM en NestJS

Relaciones uno a uno entre usuarios y perfiles en PostgreSQL

Actualización de DTOs con mapped types en NestJS para perfil y usuario

Generación automática de módulos CRUD con NestJS y AI

Relación uno a muchos con TypeORM

CRUD de categorías con IA en NestJS

Relaciones many-to-many con TypeORM y validación de arrays

Reutilización de servicios entre módulos en NestJS

Migraciones en TypeORM sin perder datos

Cómo evitar perder datos al migrar columnas

Autenticación y Autorización

Hashing de contraseñas con Bcrypt en NestJS

Excluir campos sensibles con ClassTransformer

Autenticación local con Passport en NestJS

Endpoint de login con Passport en NestJS

Implementación de JSON Web Token para autenticación en NestJS

Rutas protegidas con JWT en NestJS

User ID automático desde JWT en NestJS

Tu API Completa

Autogenera resúmenes e imágenes con OpenAI en NestJS

Documentación automática de APIs con Swagger en NestJS

Preparar tu API NestJS para producción

Desplegar aplicación Node.js a producción con Railway y PostgreSQL

Desarrollo de API REST escalable con NestJS en producción

Excluir campos sensibles con ClassTransformer