MERN电商项目Express返回JWT与用户信息时如何排除password字段

以下三种是MERN栈开发中最常用的实现方案，按需选择即可：

• 从查询源头排除字段（生产环境首选，性能最优）
  用Mongoose查询用户数据时，直接通过select方法指定不返回password字段，查出来的结果天生不带敏感字段，不需要后续额外处理：

  // 按ID查询用户示例
  const user = await User.findById(userId).select("-password");
  // 登录场景按账号查询示例
  const user = await User.findOne({ email: req.body.email }).select("-password");
  
  // 直接拼接JWT返回即可，此时user对象无password属性
  res.json({
    token: generatedJwtToken, // 你已生成的JWT令牌
    user: user
  });
  

  这种方式从数据库查询阶段就不返回密码字段，从根源避免敏感数据泄露，是行业通用的最佳实践。

• 原生JS对象解构（无依赖，逻辑直观）
  如果你已经拿到了带password的完整用户对象，可以用ES6的解构语法拆分字段，单独丢弃password后返回剩余内容：

  // 注意：Mongoose返回的是文档实例，必须先调用toObject()转成普通JS对象再解构
  const { password, ...safeUser } = user.toObject();
  
  res.json({
    token: generatedJwtToken,
    user: safeUser
  });
  

  避坑：不要直接对Mongoose文档实例做解构，否则会拿到大量内置属性，不符合预期。

• 手动删除对象属性（适合临时简单场景）
  对于简单的业务场景，也可以把用户对象转成普通对象后，直接删除password属性再返回：

  const userObj = user.toObject();
  delete userObj.password;
  
  res.json({
    token: generatedJwtToken,
    user: userObj
  });
  

内容的提问来源于stack exchange，提问作者prathamesh