Django REST Framework：depth=1时GET隐藏密码POST保留的实现方案

你遇到的核心问题是序列化器的职责混淆——既要用同一个序列化器处理用户创建（需要接收密码），又要处理嵌套关联的展示（需要隐藏密码）。其实只要调整一下序列化器的配置，或者拆分职责就能解决，下面给你两种可行方案：

方案一：调整现有序列化器，移除冲突设置 #

你的UserSerializer其实已经配置正确了：password设为write_only=True，意味着这个字段只允许在写入请求（POST/PUT）中接收，不会在读取请求（GET）的响应里返回。问题出在UserSummarySerializer里同时设置了depth=1和显式指定user = UserSerializer()，这两个配置是冲突的（显式字段优先级更高，但depth=1是多余的，会干扰序列化逻辑）。

只需要修改UserSummarySerializer，移除depth=1即可：

class UserSummarySerializer(serializers.ModelSerializer):
    user = UserSerializer()
    class Meta:
        model = models.UserSummary
        fields = '__all__'
        # 删掉这一行：depth = 1

这样调整后：

• 当GET请求获取UserSummary时，user字段会通过UserSerializer序列化，因为password是write_only，所以不会出现在响应中；
• 当POST请求创建用户时，使用UserSerializer仍然可以正常接收password字段，完全不受影响。

方案二：拆分序列化器（更清晰，推荐长期使用） #

如果后续业务对用户的创建和展示有不同的字段需求，拆分序列化器是更干净、易维护的做法：

1. 创建专用的用户创建序列化器：负责处理用户注册，明确允许接收密码

class UserCreateSerializer(serializers.ModelSerializer):
    """专门用于创建用户的序列化器"""
    class Meta:
        model = models.User
        extra_kwargs = {'password': {'write_only': True}}
        # 明确列出需要的字段，避免模型变更带来意外影响
        fields = ('email', 'firstname', 'lastname', 'mobile', 'password')

    def create(self, validated_data):
        user = models.User(
            email=validated_data['email'],
            firstname=validated_data['firstname'],
            lastname=validated_data['lastname'],
            mobile=validated_data['mobile']
        )
        user.set_password(validated_data['password'])
        user.save()
        return user

2. 创建专用的用户展示序列化器：负责对外展示用户信息，完全隐藏敏感字段

class UserDisplaySerializer(serializers.ModelSerializer):
    """专门用于展示用户信息的序列化器，隐藏所有敏感字段"""
    class Meta:
        model = models.User
        exclude = ('password', 'groups', 'last_login', 'is_superuser', 'user_permissions', 'created_at')

3. 修改UserSummarySerializer使用展示序列化器：

class UserSummarySerializer(serializers.ModelSerializer):
    user = UserDisplaySerializer(read_only=True)
    class Meta:
        model = models.UserSummary
        fields = '__all__'

之后在视图中：

• 处理用户创建的POST请求时，使用UserCreateSerializer；
• 处理UserSummary的GET请求时，使用UserSummarySerializer。

这种方式把创建和展示的职责完全分开，逻辑更清晰，也避免了后续修改其中一个序列化器影响另一个的问题。

内容的提问来源于stack exchange，提问作者kabrice