如何在Django API响应中隐藏密码哈希值？

我完全理解你的顾虑——哪怕是密码哈希值，不管是在API响应还是后台管理界面暴露出来，都不够稳妥。下面针对你的自定义模型，给你两种实用的实现方案，明确告诉你代码该放在哪里：

方法一：通过Django REST Framework序列化器处理（API场景首选） #

如果你的API是基于Django REST Framework（DRF）开发的，最直接的处理方式是在**序列化器文件（serializers.py）**中修改字段返回值：

方式1：使用SerializerMethodField自定义字段 #

from rest_framework import serializers
from .models import YourCustomUserModel

class YourUserSerializer(serializers.ModelSerializer):
    # 用自定义字段替代原密码字段
    password = serializers.SerializerMethodField()

    class Meta:
        model = YourCustomUserModel
        fields = ('id', 'username', 'email', 'password')  # 按需包含其他字段

    def get_password(self, obj):
        # 返回固定星号代替哈希值，星号数量可自行调整
        return '********'

方式2：重写to_representation统一处理响应 #

如果不想单独定义字段，也可以直接重写序列化器的核心方法，批量修改响应数据：

from rest_framework import serializers
from .models import YourCustomUserModel

class YourUserSerializer(serializers.ModelSerializer):
    class Meta:
        model = YourCustomUserModel
        fields = ('id', 'username', 'email', 'password')

    def to_representation(self, instance):
        # 先获取默认的响应数据
        data = super().to_representation(instance)
        # 替换密码字段为星号
        data['password'] = '********'
        return data

方法二：在自定义模型中添加方法（兼顾后台与API） #

如果连后台管理界面的密码哈希也想隐藏，建议在models.py里给你的自定义模型添加专属方法，后续在序列化器和admin中复用：

步骤1：修改models.py #

from django.db import models
from django.contrib.auth.hashers import make_password

class YourCustomUserModel(models.Model):
    username = models.CharField(max_length=150, unique=True)
    email = models.EmailField(unique=True)
    password = models.CharField(max_length=128)  # 假设你的密码字段定义是这样

    def save(self, *args, **kwargs):
        # 保留你原有的密码哈希逻辑
        self.password = make_password(self.password)
        super().save(*args, **kwargs)

    # 新增方法：返回隐藏后的密码
    def get_hidden_password(self):
        return '********'

步骤2：在序列化器中调用该方法 #

from rest_framework import serializers
from .models import YourCustomUserModel

class YourUserSerializer(serializers.ModelSerializer):
    password = serializers.SerializerMethodField()

    class Meta:
        model = YourCustomUserModel
        fields = ('id', 'username', 'email', 'password')

    def get_password(self, obj):
        return obj.get_hidden_password()

额外：让后台admin也隐藏密码 #

如果要同步处理后台界面，在admin.py中修改：

from django.contrib import admin
from .models import YourCustomUserModel

class YourUserAdmin(admin.ModelAdmin):
    list_display = ('username', 'email', 'get_hidden_password')
    # 详情页替换密码字段为隐藏版
    fields = ('username', 'email', 'get_hidden_password')
    readonly_fields = ('get_hidden_password',)

admin.site.register(YourCustomUserModel, YourUserAdmin)

这样不管是API响应还是后台管理界面，密码都会被星号替代啦～

内容的提问来源于stack exchange，提问作者Ankush paul