Strapi v5自定义控制器中如何对用户对象进行输出清洗？

在Strapi v5中，原v4版本的utils.sanitize.contentAPI.output方法已被移除，替代方案是使用内置的strapi.sanitize.contentAPI方法，该方法会自动根据模型定义和当前请求上下文过滤敏感字段（包括哈希密码）。

实现代码示例 #

在你的自定义/api/user控制器中，可按以下方式修改：

module.exports = {
  async findOne(ctx) {
    // 从JWT上下文获取用户ID
    const id = ctx.state.user.id;

    // 查询包含关联关系的用户数据
    const user = await strapi.entityService.findOne('plugin::users-permissions.user', id, {
      populate: ['teams'],
    });

    // 使用Strapi v5的sanitize方法清洗数据
    const sanitizedUser = await strapi.sanitize.contentAPI(
      user,
      strapi.getModel('plugin::users-permissions.user'),
      { ctx } // 传入请求上下文，确保权限过滤逻辑生效
    );

    return sanitizedUser;
  },
};

关键说明 #

• strapi.sanitize.contentAPI是Strapi v5官方推荐的内容API数据清洗方法，会严格遵循模型的contentAPI配置（比如字段的private属性）过滤敏感信息。
• 传入ctx参数是为了让sanitize方法结合当前请求的权限上下文，确保返回的数据符合当前用户的访问权限范围。

备选方案（不推荐） #

如果仅需快速移除密码字段，也可以手动删除，但这种方式无法处理模型中其他可能存在的敏感字段，仅适合简单场景：

const user = await strapi.entityService.findOne('plugin::users-permissions.user', id, {
  populate: ['teams'],
});

// 手动删除哈希密码字段
delete user.password;

return user;

内容的提问来源于stack exchange，提问作者derelektrischemoench