使用Python和Django时如何隐藏API返回结果中的指定字段

• 你在父类AccessInternalSerializer的to_representation方法中，手动硬编码将private_key和ca_cert的值写入了返回的data字典，这个操作绕过了Django REST Framework（DRF）自带的字段权限校验逻辑，哪怕子类将字段设置为write_only，父类的手动赋值操作还是会把这两个字段塞进输出结果里。
• 你提供的代码本身还存在几处语法错误，也会导致预期配置不生效：
  1. 父类中ca_cert字段的参数写为allow=True，正确参数应为allow_null=True
  2. 子类Meta中继承父类extra_kwargs时类名多写了s，AccessInternalsSerializer应改为AccessInternalSerializer
  3. 子类extra_kwargs中private_key的配置末尾缺少逗号，会触发语法报错

方案1：修改父类to_representation逻辑，兼容子类配置 #

在父类赋值前先判断字段是否为write_only，避免把只写字段塞入返回结果：

def to_representation(self, obj):
    data = super().to_representation(obj)
    # 仅当字段不是只写时才添加到返回值
    if not self.fields["private_key"].write_only:
        data["private_key"] = obj.private_key
    if not self.fields["ca_cert"].write_only:
        data["ca_cert"] = obj.ca_cert
    return data

该方案无需修改子类代码，父类逻辑可同时兼容内部接口、公开接口两种场景。

方案2：子类重写to_representation方法移除敏感字段 #

如果不想改动父类已有逻辑，可以直接在AccessSerializer中新增逻辑移除多余字段：

def to_representation(self, obj):
    data = super().to_representation(obj)
    # 移除不需要返回的敏感字段，pop加默认值避免键不存在时报错
    data.pop("private_key", None)
    data.pop("ca_cert", None)
    return data

方案3：拆分序列化器层级解耦逻辑 #

如果两类序列化器的输出逻辑差异较大，建议把通用逻辑抽到更底层的公共基类，AccessInternalSerializer单独保留内部接口需要的特殊输出逻辑，AccessSerializer直接继承公共基类而非AccessInternalSerializer，从根源上避免多余逻辑被继承。

内容的提问来源于stack exchange，提问作者stackuser