Seminar NestJS – Kompaktseminar für produktive REST-APIs

Das Kompaktformat richtet sich an erfahrene Entwicklungsteams, die in kurzer Zeit einen vollständigen NestJS-Entwicklungsweg benötigen. Grundlagen werden nur dort erläutert, wo sie für Architekturentscheidungen oder Fehlersuche erforderlich sind.

Eine REST-Anwendung durchläuft alle notwendigen Stufen von der Modulstruktur über Persistenz und Sicherheit bis zu Tests und Bereitstellung. Der enge Zeitrahmen verlangt vorbereitete TypeScript-, HTTP- und Datenbankkenntnisse.

Inhaltsübersicht

• Lernziele
• Kernarchitektur und API-Vertrag
• Persistenz und fachliche Konsistenz
• Sicherheit und Querschnittsfunktionen
• Tests, Betrieb und Bereitstellung
• Praxisprojekt: Kompakte Service-API
• Prüfpunkte und typische Fehler

Lernziele

• NestJS-Projekt und fachliche Module in kurzer Zeit konsistent strukturieren.
• REST-Verträge mit DTOs, Validierung, Fehlercodes, Pagination und Dokumentation implementieren.
• Relationalen Datenzugriff, Migrationen und Transaktionen produktionsnah integrieren.
• Authentifizierung, Berechtigungsprüfung und zentrale API-Härtung ergänzen.
• Eine kompakte, risikobasierte Testpyramide aufbauen.
• Logging, Health Checks, Containerisierung und kontrollierten Rollout vorbereiten.

Kernarchitektur und API-Vertrag

Controller, Application Services und Infrastrukturadapter erhalten klare Grenzen, damit spätere Erweiterungen nicht zu einem zentralen Service-Monolithen führen.

1. Projekt, Qualitätsregeln und Laufzeitkonfiguration vorbereiten.
2. Fachmodule, Provider-Tokens und Abhängigkeitsrichtungen festlegen.
3. REST-Ressourcen, DTOs, Statuscodes und Fehlervertrag definieren.
4. Globale ValidationPipe, Serialisierung und Exception Filter aktivieren.
5. Pagination, Filter, Sortierung und OpenAPI-Dokumentation ergänzen.
6. Konfiguration validieren und Secrets getrennt bereitstellen.

Entscheidungskriterien und Hinweise

• Zeitdruck rechtfertigt keine Auflösung fachlicher Modulgrenzen.
• API-Vertrag und interne Modelle bleiben getrennt.

Persistenz und fachliche Konsistenz

Der Datenzugriff wird über einen Adapter gekapselt. Migrationen, Constraints und Transaktionen folgen demselben reproduzierbaren Schemaweg in Entwicklung und Zielumgebung.

1. Fachliche Identitäten, Relationen und eindeutige Constraints modellieren.
2. ORM-Modul und Repository-Adapter integrieren.
3. Migrationen erzeugen, prüfen und auf einer leeren Datenbank ausführen.
4. Transaktion für einen mehrstufigen Statuswechsel definieren.
5. Konkurrierende Änderungen und idempotente Schreiboperationen behandeln.
6. Listenabfrage auf Datenmenge, N+1-Verhalten und Pagination prüfen.

Entscheidungskriterien und Hinweise

• Migrationen und Datenbanktests gehören zum Kernprojekt.
• Transaktionsgrenzen folgen fachlichen Invarianten.

Sicherheit und Querschnittsfunktionen

Ein schlankes Sicherheitsmodell schützt Anmeldung, Mandantenzugriff und administrative Operationen. Querschnittsfunktionen werden zentral eingerichtet.

1. Zugriffstoken und authentifizierenden Guard implementieren.
2. Rollen- oder Policy-Prüfung für fachliche Ressourcen ergänzen.
3. CORS, Sicherheitsheader, Rate Limiting und kontrollierte Fehlerausgaben konfigurieren.
4. Secrets und Umgebungswerte validiert laden.
5. Korrelations-ID und strukturierte Request-Logs einführen.
6. Negative Sicherheitstests für verweigerte Zugriffe ergänzen.

Entscheidungskriterien und Hinweise

• CORS ersetzt keine serverseitige Berechtigungsprüfung.
• Logs enthalten keine vollständigen Token oder sensiblen Payloads.

Tests, Betrieb und Bereitstellung

Die Teststrategie konzentriert sich auf Fachregeln, Datenzugriff, Sicherheitsgrenzen und vollständige Kernabläufe. Betriebsfunktionen werden vor der Containerisierung integriert.

1. Unit-Tests für Fachservice und Berechtigungskomponente erstellen.
2. Integrationstest für Repository und Migrationen ausführen.
3. End-to-End-Tests für Hauptablauf, Validierung und verweigerten Zugriff implementieren.
4. Health Checks, kontrolliertes Shutdown-Verhalten und Startprüfung ergänzen.
5. Container mit externer Konfiguration und nicht privilegiertem Prozess erstellen.
6. Rollout durch Smoke Test, Log- und Health-Prüfung abnehmen.
7. Rückfall auf das vorherige Release technisch vorbereiten.

Entscheidungskriterien und Hinweise

• Health Checks ersetzen keine fachlichen Smoke Tests.
• Rollout und Rollback werden als reproduzierbares Verfahren behandelt.

Praxisprojekt: Kompakte Service-API

Eine Service-API verwaltet Kundenanfragen, Zuständigkeiten und Statuswechsel. Das Projekt enthält relationale Persistenz, geschützte Verwaltungsaktionen, Suche, Pagination und Betriebsendpunkte.

Jede Ausbaustufe muss bauen, starten und die bis dahin relevanten Tests bestehen, bevor die nächste Stufe ergänzt wird.

1. Modulstruktur, REST-Vertrag und validierte Konfiguration anlegen.
2. Persistenz, Migration und Transaktionsregel implementieren.
3. Authentifizierung, Policy-Prüfung und zentrale Härtung ergänzen.
4. Unit-, Integrations- und End-to-End-Tests für den Kernablauf erstellen.
5. OpenAPI-Dokumentation, strukturierte Logs und Health Checks prüfen.
6. Container bauen und mit externer Konfiguration starten.
7. Smoke Test, Sicherheits-Negativtest und Rollback-Vorbereitung durchführen.

Prüfpunkte und typische Fehler

• Das Kompaktformat setzt sichere TypeScript- und HTTP-Kenntnisse voraus.
• Fachmodule und Datenzugriff werden trotz Zeitdruck nicht zentralisiert.
• Migrationen und Tests sind Bestandteil des Projekts.
• Berechtigungen werden an Ressourcen und Aktionen geprüft.
• Container und Health Check ersetzen keine Smoke Tests.
• Der Rollout besitzt eine überprüfbare Rückfallmöglichkeit.