NestJS开启whitelist=true时multipart/form-data请求Body为空问题

问题原因 #

当使用FileInterceptor处理multipart/form-data请求时，multer会优先解析请求体，此时拿到的body是原生键值对对象，并未被转换为FileDto的实例。这会导致两个问题：

• 开启whitelist: true时，ValidationPipe无法识别DTO类的元数据，会将所有属性当作非白名单字段过滤，最终body为空对象。
• class-validator的验证装饰器无法作用于普通对象，导致验证逻辑完全失效。

解决方案 #

1. 修正FileDto定义 #

移除file字段，因为文件已经通过@UploadedFile()装饰器单独获取，不需要放在Body DTO中：

import { ApiProperty } from '@nestjs/swagger';
import { IsString, IsNotEmpty } from 'class-validator';

export class FileDto {
  @ApiProperty()
  @IsString()
  @IsNotEmpty()
  name: string;
}

2. 手动转换并验证请求体 #

在控制器中使用plainToInstance将原生body转换为DTO实例，再调用validate执行验证逻辑，同时支持whitelist过滤：

import { Controller, Post, Body, UploadedFile, UseInterceptors, BadRequestException } from '@nestjs/common';
import { FileInterceptor } from '@nestjs/platform-express';
import { ApiConsumes } from '@nestjs/swagger';
import { plainToInstance } from 'class-transformer';
import { validate } from 'class-validator';
import { FileDto } from './file.dto';

@Controller('upload')
export class UploadController {
  @UseInterceptors(FileInterceptor('file'))
  @Post()
  @ApiConsumes('multipart/form-data')
  async uploadFile(
    @Body() rawBody: Record<string, any>,
    @UploadedFile() file: Express.Multer.File,
  ) {
    // 转换为DTO实例并启用白名单过滤
    const fileDto = plainToInstance(FileDto, rawBody, { whitelist: true });
    
    // 执行验证
    const validationErrors = await validate(fileDto);
    if (validationErrors.length > 0) {
      throw new BadRequestException(validationErrors);
    }

    console.log('body: ', fileDto);
    return 'uploaded';
  }
}

3. 可选：全局ValidationPipe配置优化 #

如果希望全局Pipe尽可能处理multipart请求，可以在全局配置中开启transform: true和whitelist: true，但仍需注意：multer的解析时机可能导致自动转换失效，手动转换依然是更可靠的方案。

// main.ts
import { ValidationPipe } from '@nestjs/common';

async function bootstrap() {
  const app = await NestFactory.create(AppModule);
  app.useGlobalPipes(new ValidationPipe({
    transform: true,
    whitelist: true,
  }));
  await app.listen(3000);
}
bootstrap();

关键说明 #

• plainToInstance负责将普通对象转换为DTO类的实例，让class-validator的装饰器能识别并生效。
• 手动调用validate可以确保验证逻辑执行，避免因multer解析顺序导致的全局Pipe失效问题。
• 启用whitelist: true的配置在plainToInstance中，可以精准保留DTO中定义的属性，过滤多余字段。

内容的提问来源于stack exchange，提问作者kan