Τι είναι το response_model;

Question

Accepted Answer

Η παράμετρος **`response_model`** δηλώνει τη δομή της απόκρισης ενός endpoint. Το FastAPI τη χρησιμοποιεί για να **επικυρώσει, φιλτράρει και σειριοποιήσει** τα επιστρεφόμενα δεδομένα — και για να τεκμηριώσει την απόκριση στα API docs. Το πιο σημαντικό της καθήκον: διασφάλιση ότι εκθέτετε μόνο τα προορισμένα πεδία (π.χ. ποτέ διαρροή κωδικού πρόσβασης).

## Το πρόβλημα: διαρροή ευαίσθητων πεδίων

```python
class User(BaseModel):
    name: str
    email: str
    password: str        # ⚠️ should NEVER be in the response!

@app.get("/users/{id}")
def get_user(id: int) -> User:
    return db.get_user(id)   # returning the full object would expose the password
```

## Η λύση: ένα ξεχωριστό response model

```python
class UserOut(BaseModel):    # the SAFE public shape — no password
    name: str
    email: str

@app.get("/users/{id}", response_model=UserOut)
def get_user(id: int):
    return db.get_user(id)   # returns a full user, but FastAPI FILTERS it to UserOut
# response → { "name": "...", "email": "..." }  — password stripped automatically
```

Με `response_model=UserOut`, το FastAPI παίρνει ό,τι επιστρέφετε και **φιλτράρει** μόνο τα πεδία που δηλώνονται στο `UserOut` — επομένως ο κωδικός πρόσβασης (και τυχόν άλλα επιπλέον πεδία) αφαιρούνται από την απόκριση, ακόμα κι αν επιστρέψατε το πλήρες αντικείμενο.

## Τι κάνει το response_model

```text
✓ FILTERS the output to only the declared fields (key for hiding sensitive data)
✓ VALIDATES that your response matches the declared schema (catches mistakes)
✓ SERIALIZES the data to JSON correctly
✓ DOCUMENTS the response shape in the OpenAPI/Swagger docs
```

## Σύγχρονη εναλλακτική: η σχολιασμένη παραγωγή τύπου

```python
@app.get("/users/{id}")
def get_user(id: int) -> UserOut:    # the -> return type works like response_model
    return db.get_user(id)
# response_model_exclude_unset=True → omit fields not explicitly set
```

## Γιατί έχει σημασία

Το `response_model` είναι σημαντικό τόσο για την **ασφάλεια** όσο και για καθαρό σχεδιασμό API.

Ο πιο κρίσιμος ρόλος του είναι η αποτροπή κατά λάθος διαρροής δεδομένων — δηλώνοντας ακριβώς ποια πεδία θα πρέπει να περιέχει η απόκριση, το FastAPI φιλτράρει τα πάντα άλλα (όπως κατακερματισμένοι κωδικοί πρόσβασης, εσωτερικές σημαίες ή tokens) ακόμα κι αν ο κώδικάς σας επιστρέφει ένα πλήρες αντικείμενο βάσης δεδομένων, εξαλείφοντας μια κοινή και σοβαρή ευπάθεια.

Πέρα από αυτό, επικυρώνει τις απόκρισές σας σε σχέση με ένα δηλωμένο σχήμα (εντοπισμός σφαλμάτων όπου επιστρέφετε λάθος σχήμα), διασφαλίζει σωστή σειριοποίηση και τεκμηριώνει την απόκριση στα αυτόματα API docs.

Το μοτίβο χρήσης ξεχωριστών μοντέλων εισόδου και εξόδου (με το `response_model` να ελέγχει τι εκτίθεται) είναι μια καλή πρακτική για ασφαλή, καλά καθορισμένα API, καθιστώντας αυτή τη γνώση σημαντική για οποιοδήποτε endpoint που επιστρέφει δεδομένα.