Python Web开发如何进行数据脱敏_序列化层屏蔽敏感信息-Python教程-PHP中文网

pydantic v2 中用 field(exclude=true) 或 model_dump(exclude={...}) 控制序列化字段；drf 用 serializermethodfield 动态脱敏；fastapi 用 response_model_exclude 快速过滤；orm 的 defer/only 不可用于安全脱敏，必须在序列化层处理。

python web开发如何进行数据脱敏_序列化层屏蔽敏感信息

用 Pydantic v2 的 `Field` + `exclude` 控制序列化字段

Pydantic 模型默认会把所有字段都序列化出来，哪怕你只在 API 响应里想返回用户昵称和头像，password_hash、email 这类字段也容易一并漏出去。最直接的办法是显式声明哪些字段不参与序列化。

实操建议：

Field 配合 exclude=True 只影响单个字段：比如 password_hash: str = Field(exclude=True)
整个模型序列化时统一排除：调用 model.model_dump(exclude={"email", "phone"})
注意 exclude 是字符串集合，不是正则；若字段嵌套在子模型里，得写成 {"profile": {"private_notes"}}
别混淆 exclude 和 default=None——后者只是设默认值，字段仍会出现在输出中

Django REST Framework 中用 `SerializerMethodField` 动态脱敏

DRF 的序列化器天然适合做字段级控制，尤其当你需要“对管理员返回完整数据、对普通用户屏蔽手机号”这类逻辑时，SerializerMethodField 比硬编码 exclude 更灵活。

实操建议：

定义方法名必须是 get_字段名，返回值就是该字段最终值；比如 def get_phone(self, obj): return "***-****-****" if not self.context.get("is_admin") else obj.phone
确保 context 传入了权限标识，通常在 ViewSet 的 get_serializer_context() 里塞 {"is_admin": request.user.is_staff}
别在 get_ 方法里做耗时操作（如查库），它会在每个对象上执行；敏感字段本身已加载到 obj，直接读取即可
如果字段是 None 或空字符串，记得在方法里显式处理，否则可能暴露原始值

FastAPI 路由返回前用 `response_model_exclude` 快速过滤

FastAPI 支持在路由装饰器里直接指定排除字段，适合简单场景——比如所有 /users/me 接口都不返回 api_key，不用每处都改模型。

Python 3.14.2

Python 3.14.2是Python编程语言在2025年12月5日发布的稳定版本，属于3.14系列的第二个维护更新。该版本包含了18项修复，重点解决了多进程、数据类及正则表达式等模块的回归问题，并修复了CVE-2025-12084等安全漏洞。此版本标志着自由线程模式（移除GIL）正式获得官方支持，是Python发展的重要里程碑。

下载

实操建议：

在 @app.get(..., response_model=UserInfo, response_model_exclude={"api_key", "salt"}) 中声明
这个参数只影响该路由的响应体，不影响请求校验或内部逻辑
若同时用了 response_model_include，exclude 会被忽略；二者别混用
字段名必须和 Pydantic 模型定义一致，大小写敏感；嵌套字段不支持（如 {"profile": {"ssn"}} 无效）