NestJS中DTO接收多余参数问题：如何限制仅允许DTO定义参数通过

我明白你的需求——你希望客户端发送包含未在DTO中定义的字段时，直接返回400错误，而不是让请求进入服务层。NestJS的ValidationPipe默认是宽松模式，不会处理多余字段，所以我们需要调整它的配置来实现严格校验。

解决方案：配置ValidationPipe的严格校验选项 #

你只需要给ValidationPipe添加两个关键配置：

• whitelist: true：自动移除请求体中未在DTO定义的字段
• forbidNonWhitelisted: true：当请求体包含未在DTO定义的字段时，直接抛出400错误

控制器级别配置（仅对当前控制器生效）

修改你的控制器代码，更新UsePipes的配置：

@UsePipes(new ValidationPipe({
  whitelist: true,
  forbidNonWhitelisted: true,
}))
@Post('/update')
// 注意：这里你之前写的是UpdateUserDTO，应该改成你定义的UpdateUserRoleDTO
async updateUser(@Body() updateUserDto: UpdateUserRoleDTO): Promise<User> {
  return await this.userService.updateUser(updateUserDto);
}

全局配置（对整个应用生效）

如果你希望所有接口都遵循这个规则，可以在main.ts中全局注册ValidationPipe：

import { NestFactory } from '@nestjs/core';
import { ValidationPipe } from '@nestjs/common';
import { AppModule } from './app.module';

async function bootstrap() {
  const app = await NestFactory.create(AppModule);
  
  app.useGlobalPipes(new ValidationPipe({
    whitelist: true,
    forbidNonWhitelisted: true,
    // 可选：开启自动转换类型，确保请求参数类型和DTO一致
    transform: true,
  }));
  
  await app.listen(3000);
}
bootstrap();

效果说明 #

当客户端发送像{ userId : 1, roleId : 1, xyz : 'assddcds', someotherkey : 'fsdvs' }这样的请求体时，ValidationPipe会直接返回400错误，响应信息会列出所有不被允许的额外字段，比如：

{
"statusCode": 400,
"message": ["property xyz should not exist", "property someotherkey should not exist"],
"error": "Bad Request"
}

这样就能确保只有DTO中定义的参数能通过校验，避免多余字段进入服务层。

内容的提问来源于stack exchange，提问作者Ashish Choubey