`response_model` किसके लिए है?

Question

Accepted Answer

**`response_model`** पैरामीटर किसी endpoint की प्रतिक्रिया का आकार घोषित करता है। FastAPI इसका उपयोग लौटाए गए डेटा को **मान्य करने, फ़िल्टर करने और क्रमबद्ध करने** के लिए करता है — और API docs में प्रतिक्रिया को दस्तावेज़ करता है। इसका सबसे महत्वपूर्ण काम: यह सुनिश्चित करना कि आप केवल इच्छित फ़ील्ड ही expose करते हैं (जैसे कभी भी पासवर्ड लीक न करना)।

## समस्या: संवेदनशील फ़ील्ड लीक करना

```python
class User(BaseModel):
    name: str
    email: str
    password: str        # ⚠️ should NEVER be in the response!

@app.get("/users/{id}")
def get_user(id: int) -> User:
    return db.get_user(id)   # returning the full object would expose the password
```

## समाधान: एक अलग response model

```python
class UserOut(BaseModel):    # the SAFE public shape — no password
    name: str
    email: str

@app.get("/users/{id}", response_model=UserOut)
def get_user(id: int):
    return db.get_user(id)   # returns a full user, but FastAPI FILTERS it to UserOut
# response → { "name": "...", "email": "..." }  — password stripped automatically
```

`response_model=UserOut` के साथ, FastAPI जो कुछ भी आप लौटाते हैं उसे लेता है और **इसे फ़िल्टर करता है** केवल `UserOut` में घोषित फ़ील्ड के लिए — तो पासवर्ड (और कोई भी अन्य अतिरिक्त फ़ील्ड) प्रतिक्रिया से हटा दिए जाते हैं, भले ही आपने पूरी object लौटाई हो।

## response_model क्या करता है

```text
✓ FILTERS the output to only the declared fields (key for hiding sensitive data)
✓ VALIDATES that your response matches the declared schema (catches mistakes)
✓ SERIALIZES the data to JSON correctly
✓ DOCUMENTS the response shape in the OpenAPI/Swagger docs
```

## आधुनिक विकल्प: return type annotation

```python
@app.get("/users/{id}")
def get_user(id: int) -> UserOut:    # the -> return type works like response_model
    return db.get_user(id)
# response_model_exclude_unset=True → omit fields not explicitly set
```

## यह क्यों महत्वपूर्ण है

`response_model` **सुरक्षा** और स्वच्छ API डिज़ाइन दोनों के लिए महत्वपूर्ण है।

इसकी सबसे महत्वपूर्ण भूमिका है आकस्मिक डेटा leaks को रोकना — यह घोषित करके कि प्रतिक्रिया में कौन सी फ़ील्ड होनी चाहिए, FastAPI बाकी सब कुछ फ़िल्टर करता है (जैसे पासवर्ड hashes, आंतरिक flags, या tokens) भले ही आपका कोड पूरा database object लौटाए, एक सामान्य और गंभीर vulnerability को समाप्त करता है।

इसके अलावा, यह आपकी प्रतिक्रियाओं को घोषित schema के विरुद्ध validate करता है (bugs को पकड़ता है जहां आप गलत shape लौटाते हैं), सही serialization सुनिश्चित करता है, और auto-generated API docs में प्रतिक्रिया को दस्तावेज़ित करता है।

अलग input और output models का उपयोग करने का पैटर्न (`response_model` को नियंत्रित करता है कि क्या expose किया जाए) सुरक्षित, अच्छी तरह से परिभाषित APIs के लिए एक best practice है, जो इस महत्वपूर्ण ज्ञान को किसी भी endpoint के लिए महत्वपूर्ण बनाता है जो डेटा लौटाता है।