Django中设置depth=2的ModelSerializer如何排除指定字段

当你使用depth时，DRF会自动序列化关联模型的所有字段，这确实会带来敏感信息泄露的问题。这里有两种可行的解决方案，优先推荐第一种：

方法一：自定义Account嵌套序列化器（推荐） #

这种方式最清晰，也方便后续复用和维护。我们先为Account模型创建一个仅包含安全字段的序列化器，再在Student序列化器中引用它：

from django.contrib.auth import get_user_model
from rest_framework import serializers

# 先定义Account的安全序列化器
class AccountSafeSerializer(serializers.ModelSerializer):
    class Meta:
        model = get_user_model()
        # 方式1：明确列出需要返回的字段（更安全，避免新增字段意外泄露）
        fields = ("email", "first_name", "last_name", "gender", "date_joined", "last_login")
        # 方式2：排除敏感字段（适合字段较多的情况）
        # exclude = ("password", "is_admin", "is_staff", "is_superuser", "is_active")

# 修改Student的序列化器，使用自定义的嵌套序列化器
class StudentBaseSerializer(serializers.ModelSerializer):
    user = AccountSafeSerializer()  # 替换自动嵌套为自定义序列化器

    class Meta:
        model = Student
        fields = ("user",)

这样就能精准控制返回的Account字段，完全避免敏感信息泄露，而且这个AccountSafeSerializer还能在其他需要序列化Account的场景中复用。

方法二：通过to_representation过滤敏感字段（应急方案） #

如果你一定要保留depth参数，可以重写序列化器的to_representation方法，手动删除敏感字段：

class StudentBaseSerializer(serializers.ModelSerializer):
    class Meta:
        model = Student
        fields = ("user",)
        depth = 2

    def to_representation(self, instance):
        # 先获取默认序列化的数据
        data = super().to_representation(instance)
        # 从user对象中移除敏感字段
        sensitive_fields = ["password", "is_admin", "is_staff", "is_superuser"]
        for field in sensitive_fields:
            data["user"].pop(field, None)
        return data

不过这种方式不够优雅，当Account模型新增字段时，你需要手动检查是否有新的敏感字段需要添加到过滤列表中，维护成本更高。

内容的提问来源于stack exchange，提问作者The Mir