Express.js中如何在响应里排除用户对象的password字段？

登录验证时需要用到用户的password字段和输入密码做bcrypt对比，但返回响应时不想把password包含在user对象里，直接用.select("-password")会导致对比失败，这里提供几种可行的解决方法：

方法1：手动构建返回的用户对象 #

直接提取需要返回的字段，主动排除password，适合需要精确控制返回内容的场景：

const loginUser = asyncHandler(async (req, res) => {
  const { email, password } = req.body;

  const user = await User.findOne({ email });

  if (user && (await bcrypt.compare(password, user.password))) {
    // 只保留需要返回的字段
    const safeUser = {
      _id: user._id,
      name: user.name,
      email: user.email,
      // 按需添加其他字段，比如 role、avatar 等
    };

    res.json({
      user: safeUser,
      token: generateToken(user._id),
    });
  } else {
    res.status(400);
    throw new Error("Invalid credentials");
  }
});

方法2：转成普通对象后删除password #

利用Mongoose文档的toObject()方法转成普通JS对象，再删除password属性：

const loginUser = asyncHandler(async (req, res) => {
  const { email, password } = req.body;

  const user = await User.findOne({ email });

  if (user && (await bcrypt.compare(password, user.password))) {
    const userObj = user.toObject();
    delete userObj.password; // 移除password字段

    res.json({
      user: userObj,
      token: generateToken(user._id),
    });
  } else {
    res.status(400);
    throw new Error("Invalid credentials");
  }
});

方法3：在Mongoose模型中全局配置自动排除password #

如果整个项目中返回用户数据时都需要排除password，可以在User模型里配置toJSON转换规则，一劳永逸：

模型文件修改： #

const userSchema = new mongoose.Schema({
  name: { type: String, required: true },
  email: { type: String, required: true, unique: true },
  password: { type: String, required: true },
  // 其他字段定义
});

// 设置toJSON转换时自动删除password
userSchema.set('toJSON', {
  transform: (doc, ret) => {
    delete ret.password;
    return ret;
  }
});

const User = mongoose.model('User', userSchema);

控制器无需修改： #

此时直接返回user对象，转成JSON时会自动排除password：

const loginUser = asyncHandler(async (req, res) => {
  const { email, password } = req.body;

  const user = await User.findOne({ email });

  if (user && (await bcrypt.compare(password, user.password))) {
    res.json({
      user: user,
      token: generateToken(user._id),
    });
  } else {
    res.status(400);
    throw new Error("Invalid credentials");
  }
});

内容的提问来源于stack exchange，提问作者Talha Jutt