Django DRF开发中如何移除接口响应中的password字段

问题说明 #

基于Django + Django REST Framework开发用户注册接口时，默认配置下序列化器会将password字段（即使是哈希加密后的值）包含在POST创建用户成功的响应中，存在敏感信息泄露风险，需要将该字段从响应数据中剔除。

可用实现方案 #

• 方案1：给password字段设置write_only属性（最推荐）
  DRF字段的write_only=True参数会指定该字段仅在反序列化（接收请求参数、写入数据）阶段生效，序列化输出响应数据时会自动排除该字段，是最符合DRF设计规范的实现方式。
  修改序列化器代码如下：

  class RegisterSerializer(serializers.ModelSerializer):
      # 显式声明password字段，设置为仅写，可按需补充长度、复杂度校验规则
      password = serializers.CharField(write_only=True, min_length=8)
      class Meta:
          model = User
          fields = ("email", "user_name", "password")
  
      def create(self, validated_data):
          return User.objects.create_user(**validated_data)
  

  该方案无需修改视图、模型层代码，逻辑收敛在序列化器中，后续维护成本最低。

• 方案2：重写序列化器to_representation方法
  如果不需要对password字段做额外校验，也可以通过重写序列化输出方法，手动剔除返回结果中的password字段：

  class RegisterSerializer(serializers.ModelSerializer):
      class Meta:
          model = User
          fields = ("email", "user_name", "password")
  
      def create(self, validated_data):
          return User.objects.create_user(**validated_data)
      
      def to_representation(self, instance):
          rep = super().to_representation(instance)
          rep.pop("password", None)
          return rep
  

  该方案适合需要动态调整返回字段的场景，比如根据用户权限返回不同字段内容的业务逻辑。

• 方案3：视图层手动构造返回数据
  如果不希望修改序列化器逻辑，也可以在视图返回响应时，手动指定需要返回的字段，不直接透传serializer.data：

  @api_view(["POST"])
  @permission_classes([AllowAny])
  def CreateUserView(request):
      serializer = RegisterSerializer(data=request.data)
      if serializer.is_valid():
         user = serializer.save()
         if user:
            # 仅返回允许对外暴露的字段
            return Response(
                {
                    "email": user.email,
                    "user_name": user.user_name
                },
                status=status.HTTP_201_CREATED
            )
      return Response(serializer.errors, status=status.HTTP_400_BAD_REQUEST)
  

  该方案灵活性高，但字段较多时代码冗余度高，不符合序列化器统一处理输入输出的设计原则，仅适合临时快速调整的场景。

安全提示：即使接口返回的是经过哈希算法加密的密码散列值，也属于敏感数据，一旦泄露会提升暴力破解的风险，接口返回需严格遵循数据最小必要原则，仅返回业务需要的字段。

内容的提问来源于stack exchange，提问作者MattyOstrowsky