$hidden 仅对当前模型序列化生效，不作用于关联模型、事件广播及中间件响应；需在关联模型单独定义、广播中手动筛选、resource 中条件化处理。
$hidden 是 Laravel 模型字段隐藏的起点，但仅对模型自身序列化生效；它不自动作用于关联模型、事件广播或中间件响应，误用会导致敏感字段意外泄露。
模型里用 $hidden 隐藏字段，但只管当前模型
你在 User 模型里写 protected $hidden = ['password', 'remember_token']，那只要调用 $user->toArray() 或 $user->toJson()，这两个字段就一定不会出现——这是最轻量、最确定的屏蔽方式。
- 它只影响该模型实例的原始属性（数据库字段 + 访问器生成的属性），不递归处理
$user->posts这类关联集合 - 如果
Post模型也有敏感字段，必须在Post类里单独定义$hidden - 别把字段名写错：比如数据库字段是
password_hash，但模型里写成'password'，那就白设了——$hidden匹配的是getAttribute()返回的键名 - 和
$casts冲突时，$hidden优先级更高；哪怕你把password转成字符串，只要在$hidden里，照样不输出
API Resource 里手动构造数组，才能做条件化隐藏
$hidden 是静态的、全有或全无的；一旦你需要“管理员能看到 last_login_at，普通用户看不到”，就必须用 UserResource 的 toArray() 方法。
PHP中文网提供Laravel 13.2.0版本下载，Laravel框架 是基于 PHP 8.3+ 的高性能框架，官方推荐通过 Composer 安装。它内置 AI SDK、JSON:API Resources 及原生向量搜索，支持属性驱动开发与队列路由，大幅提升开发效率。相比旧版，13.2.0 优化了缓存 TTL 管理与实时通信，无需 Redis 即可横向扩展。作为现代 Web 开发首选，它兼顾安全与极速体验，助您快速构建企业级应用。
- 别直接
return $this->resource->toArray()—— 这会绕过你写的逻辑，也绕过$hidden（因为toArray()已执行过一次） - 字段名必须和模型属性名一致：
$this->last_login_at，不是$this->lastLoginAt（除非你定义了访问器） - 不要在
toArray()里查库或调用耗时方法，容易拖慢接口；权限判断尽量用$request->user()?->can()这种已加载好的数据 - 如果返回关联模型（如
'profile' => $this->profile），记得它也会走自己的$hidden规则——没定义就全量输出
事件广播里 $hidden 完全不生效，必须显式筛字段
模型事件（如 UserCreated）触发广播时，$user->toArray() 不受 $hidden 约束。这是最常被忽略的泄露点。
- 绝对不要写
event(new UserCreated($user->toArray()))，密码、token 全都会发出去 - 改用
$user->only(['id', 'name', 'email'])，或在模型里加个toBroadcastArray()方法统一维护 - 如果用了
ShouldBroadcast，broadcastWith()返回的数组就是最终广播内容，必须手工过滤，不能依赖模型自动行为 - 别在
broadcastWith()里调用$user->posts这类关系加载——既可能 N+1，又可能把关联模型的敏感字段一并带出去
makeHidden() 只作用于当前实例，且对关联无效
$user->makeHidden(['api_token']) 看起来灵活，但它只临时修改这个 $user 实例，不影响任何其他查询结果，也不影响 $user->posts 里的每个 Post。
- 常见错误：以为
$user->load('posts')->makeHidden(['email'])能让posts.0.user.email消失——其实posts里的User实例仍是原始状态 - 想隐藏关联字段，要么在关联模型里设
$hidden，要么对集合单独调用：$user->posts->makeHidden(['content']) -
makeHidden()是追加隐藏，不是覆盖：模型已有$hidden = ['password']，再调makeHidden(['token'])，结果是两个都藏 - 在 Resource 里用它，必须显式调用
toArray()：'user' => $this->user->makeHidden(['token'])->toArray()，否则无效
真正难的不是怎么写 $hidden，而是记住它在哪起作用、在哪彻底失效——尤其是事件广播和关联模型这两处，最容易漏掉，一漏就是生产事故。
