Laravel中如何隐藏User模型password列，避免关联查询泄露敏感数据？

我正在做一个安全应用的收尾工作，想严格保障users表的安全性，查询时只选视图需要的字段（比如name、age）。但users表和top_semanal表是一对多关联，查询关联表时还是能访问users表的所有字段，尤其是敏感的password列，希望彻底隐藏它。

可获取用户密码的场景 #

$top = top_semanal::where('sport',$category)->get();
$top[0]->user->password

无法获取用户密码的场景 #

$usuario = user::select('user','email')->where('id', 1)->first();
$usuario->password;

重要说明：未使用Laravel的Auth组件，自定义的User模型代码如下：

protected $table = "USER";

public $timestamps = false;

protected $fillable = [
    'name',
    'email',
    'password',
];

protected $hidden = [
    "password"
];

求问：有没有方法在所有查询中隐藏password列？

你遇到的核心问题是：$hidden属性仅在模型转数组/JSON时生效，直接访问模型属性仍能获取password。要彻底从查询层面隐藏该字段，推荐以下几种方法：

1. 关联定义时指定加载字段 #

在top_semanal模型中，修改与User的关联方法，明确指定要加载的字段（排除password）：

public function user()
{
    return $this->belongsTo(User::class)->select(['id', 'name', 'email']);
}

这种方式从关联查询的源头上避免加载password，每次通过top_semanal获取关联用户时，只会查询指定字段。

2. 给User模型添加全局作用域 #

在User模型的boot方法中添加全局作用域，强制所有查询默认排除password：

protected static function boot()
{
    parent::boot();

    static::addGlobalScope('withoutPassword', function ($query) {
        // 列出所有需要默认查询的字段，排除password
        $query->select(['id', 'name', 'email']);
    });
}

所有User相关的查询（包括关联查询）都会自动应用这个作用域，若有特殊场景需要查询password，可临时取消：

User::withoutGlobalScope('withoutPassword')->find($id);

3. 重写User模型的newQuery方法 #

通过重写newQuery方法，让所有默认查询都排除password：

public function newQuery($excludeDeleted = true)
{
    return parent::newQuery($excludeDeleted)->select(['id', 'name', 'email']);
}

此方法与全局作用域效果类似，适合业务中完全不需要主动查询password的场景。

内容的提问来源于stack exchange，提问作者Jorge Garcia