Python Web开发如何进行数据脱敏_序列化层屏蔽敏感信息

Pydantic v2 中用 Field(exclude=True) 或 model_dump(exclude={...}) 控制序列化字段；DRF 用 SerializerMethodField 动态脱敏；FastAPI 用 response_model_exclude 快速过滤；ORM 的 defer/only 不可用于安全脱敏，必须在序列化层处理。

用 Pydantic v2 的 Field + exclude 控制序列化字段

Pydantic 模型默认会把所有字段都序列化出来，哪怕你只在 API 响应里想返回用户昵称和头像，password_hash、email 这类字段也容易一并漏出去。最直接的办法是显式声明哪些字段不参与序列化。

实操建议：

• Field 配合 exclude=True 只影响单个字段：比如 password_hash: str = Field(exclude=True)
• 整个模型序列化时统一排除：调用 model.model_dump(exclude={"email", "phone"})
• 注意 exclude 是字符串集合，不是正则；若字段嵌套在子模型里，得写成 {"profile": {"private_notes"}}
• 别混淆 exclude 和 default=None——后者只是设默认值，字段仍会出现在输出中

Django REST Framework 中用 SerializerMethodField 动态脱敏

DRF 的序列化器天然适合做字段级控制，尤其当你需要“对管理员返回完整数据、对普通用户屏蔽手机号”这类逻辑时，SerializerMethodField 比硬编码 exclude 更灵活。

实操建议：

• 定义方法名必须是 get_字段名，返回值就是该字段最终值；比如 def get_phone(self, obj): return "***-****-****" if not self.context.get("is_admin") else obj.phone
• 确保 context 传入了权限标识，通常在 ViewSet 的 get_serializer_context() 里塞 {"is_admin": request.user.is_staff}
• 别在 get_ 方法里做耗时操作（如查库），它会在每个对象上执行；敏感字段本身已加载到 obj，直接读取即可
• 如果字段是 None 或空字符串，记得在方法里显式处理，否则可能暴露原始值

FastAPI 路由返回前用 response_model_exclude 快速过滤

FastAPI 支持在路由装饰器里直接指定排除字段，适合简单场景——比如所有 /users/me 接口都不返回 api_key，不用每处都改模型。

Fotor AI Image Generator

Fotor 平台的 AI 图片生成器

实操建议：

• 在 @app.get(..., response_model=UserInfo, response_model_exclude={"api_key", "salt"}) 中声明
• 这个参数只影响该路由的响应体，不影响请求校验或内部逻辑
• 若同时用了 response_model_include，exclude 会被忽略；二者别混用
• 字段名必须和 Pydantic 模型定义一致，大小写敏感；嵌套字段不支持（如 {"profile": {"ssn"}} 无效）

别依赖 ORM 层的 defer() 或 only() 做脱敏

有人试图用 Django 的 defer("password_hash") 让数据库不查敏感字段，以为这样就能防止泄露。但这是错的：字段没查出来，序列化时可能触发懒加载（比如访问 user.password_hash），反而导致 N+1 查询，还可能因异常暴露原始值。

实操建议：

• defer() 和 only() 是性能优化手段，不是安全机制；脱敏必须在序列化层完成
• 如果真要减少查询字段，配合 values() 或 values_list() 手动构造字典，再喂给序列化器，但代价是失去类型校验和嵌套支持
• ORM 层字段权限（如 hasattr(obj, "email")）不可靠——属性存在不代表能读，更不代表该返回

真正难的是动态策略：比如“同一字段对不同租户展示规则不同”，这时候光靠静态 exclude 或固定 get_ 方法就不够了，得把脱敏逻辑下沉到序列化器初始化阶段，结合 context 和运行时角色做字段映射。这个点很容易被当成配置问题跳过，结果上线后才发现某类用户能看到不该看的字段。