Node.js从MySQL获取数据时如何隐藏密码字段？

我需要从MySQL获取用户数据时排除密码字段，单条查询（按ID查询）的代码能正常实现需求，但全量查询的代码达不到预期效果，希望全量查询也能返回不含密码的用户数据。

正常工作的单条查询代码： #

exports.getOneUserListById = async (req, res) => {
  let id = req.params.id;
  try {
    dbConfig.query(
      `SELECT * FROM communityabstract WHERE id="${id}"`,
      (err, rows) => {
        const {password,...data}=rows[0]

        if (err) {
          return res.status(500).json({ status: "Failed", message: err });
        }
        if(rows.length===0){ res.status(404).json({status:"No data available"})}else{
        res.json({ status: "Success", result: data });}
      }
    );
  } catch (err) {
    res.status(500).json({ status: "Failed", message: err });
  }
};

未达到预期的全量查询代码： #

exports.getAllUserList = async (req, res) => {
  try {
    dbConfig.query(`SELECT * FROM communityabstract`, (err, rows) => {
      const {password,...data}=rows
      if (err) {
        return res.status(500).json({ status: "Failed", message: err });
      }
      res.json({ status: "Success", result: data });
    });
  } catch (err) {
    res.status(500).json({ status: "Failed", message: err });
  }
};

问题原因 #

单条查询时，rows[0]是单个用户对象，用对象解构{password,...data}可以正确剔除password字段；但全量查询时，rows是用户对象数组，直接对数组做解构拿password完全无效——数组本身没有password属性，所以解构后data还是原数组，根本没排除密码。

修复后的全量查询代码 #

遍历数组里的每个用户对象，逐个剔除password字段：

exports.getAllUserList = async (req, res) => {
  try {
    dbConfig.query(`SELECT * FROM communityabstract`, (err, rows) => {
      if (err) {
        return res.status(500).json({ status: "Failed", message: err });
      }
      // 遍历每个用户对象，解构剔除password
      const data = rows.map(user => {
        const { password, ...rest } = user;
        return rest;
      });
      res.json({ status: "Success", result: data });
    });
  } catch (err) {
    res.status(500).json({ status: "Failed", message: err });
  }
};

额外优化建议 #

更高效的方式是直接在SQL查询里指定要返回的字段，避免查询不必要的password字段，减少数据传输：

SELECT id, username, email, ... -- 列出除password外的所有字段
FROM communityabstract

这样就不用在代码里做解构处理，性能更好，也更安全。

内容的提问来源于stack exchange，提问作者Venkat