Čemu služi `response_model`?

Question

Accepted Answer

Parameter **`response_model`** deklarira oblik odgovora endpoint-a. FastAPI ga koristi za **validaciju, filtriranje i serijalizaciju** vraćenih podataka — i za dokumentiranje odgovora u API dokumentaciji. Njegov najvažniji zadatak: osigurati da izlažete samo predviđena polja (npr. nikada ne curiti lozinku).

## Problem: curenje osjetljivih polja

```python
class User(BaseModel):
    name: str
    email: str
    password: str        # ⚠️ should NEVER be in the response!

@app.get("/users/{id}")
def get_user(id: int) -> User:
    return db.get_user(id)   # returning the full object would expose the password
```

## Rješenje: odvojen response model

```python
class UserOut(BaseModel):    # the SAFE public shape — no password
    name: str
    email: str

@app.get("/users/{id}", response_model=UserOut)
def get_user(id: int):
    return db.get_user(id)   # returns a full user, but FastAPI FILTERS it to UserOut
# response → { "name": "...", "email": "..." }  — password stripped automatically
```

S `response_model=UserOut`, FastAPI preuzima sve što vratite i **filtrira ga** na samo polja deklarirana u `UserOut` — tako se lozinka (i sva druga dodatna polja) uklanja iz odgovora, čak i ako ste vratili cijeli objekt.

## Što response_model čini

```text
✓ FILTERS the output to only the declared fields (key for hiding sensitive data)
✓ VALIDATES that your response matches the declared schema (catches mistakes)
✓ SERIALIZES the data to JSON correctly
✓ DOCUMENTS the response shape in the OpenAPI/Swagger docs
```

## Moderna alternativa: anotacija tipusa povratne vrijednosti

```python
@app.get("/users/{id}")
def get_user(id: int) -> UserOut:    # the -> return type works like response_model
    return db.get_user(id)
# response_model_exclude_unset=True → omit fields not explicitly set
```

## Zašto je to važno

`response_model` je važan za **sigurnost** i čist dizajn API-ja.

Njegova najkritičnija uloga je sprječavanje slučajnog curenja podataka — deklariranjem točno kojih polja odgovor treba sadržavati, FastAPI filtrira sve ostalo (kao što su heši lozinki, interni zastavice ili tokeni) čak i ako kod vraća kompletan database objekt, čime se elimira česta i ozbiljna ranjivost.

Osim toga, validira vaše odgovore prema deklariranoj shemi (uhvaćajući greške gdje vraćate pogrešan oblik), osigurava ispravnu serijalizaciju i dokumentira odgovor u auto-generiranoj API dokumentaciji.

Obrasca korištenja odvojenih modela ulaza i izlaza (s `response_model`-om koji upravlja onim što je izloženo) je best practice za sigurne, dobro definirane API-je, čineći ovo važno znanje za bilo koji endpoint koji vraća podatke.