Mire való a `response_model`?

Question

Accepted Answer

A **`response_model`** paraméter deklarálja egy végpont válaszának alakját. A FastAPI a visszaküldött adatok **validálására, szűrésére és szerializálására** használja — és dokumentálja a választ az API dokumentációban. Legfontosabb feladata: biztosítani, hogy csak a szándékolt mezőket tárja fel (pl. soha ne szivárogjon ki jelszó).

## A probléma: érzékeny mezők szivárgása

```python
class User(BaseModel):
    name: str
    email: str
    password: str        # ⚠️ should NEVER be in the response!

@app.get("/users/{id}")
def get_user(id: int) -> User:
    return db.get_user(id)   # returning the full object would expose the password
```

## A megoldás: egy külön válasz modell

```python
class UserOut(BaseModel):    # the SAFE public shape — no password
    name: str
    email: str

@app.get("/users/{id}", response_model=UserOut)
def get_user(id: int):
    return db.get_user(id)   # returns a full user, but FastAPI FILTERS it to UserOut
# response → { "name": "...", "email": "..." }  — password stripped automatically
```

A `response_model=UserOut` paraméterrel a FastAPI felveszi azt, amit visszaküldesz, és **szűri csak azokra a mezőkre**, amelyek a `UserOut` paraméterben vannak deklarálva — így a jelszó (és egyéb extra mezők) eltávolításra kerülnek a válaszból, még akkor is, ha az egész objektumot küldöd vissza.

## Mit csinál a response_model

```text
✓ FILTERS the output to only the declared fields (key for hiding sensitive data)
✓ VALIDATES that your response matches the declared schema (catches mistakes)
✓ SERIALIZES the data to JSON correctly
✓ DOCUMENTS the response shape in the OpenAPI/Swagger docs
```

## Modern alternatíva: visszatérési típus megjegyzés

```python
@app.get("/users/{id}")
def get_user(id: int) -> UserOut:    # the -> return type works like response_model
    return db.get_user(id)
# response_model_exclude_unset=True → omit fields not explicitly set
```

## Miért fontos

A `response_model` fontos a **biztonság** és a tiszta API-tervezés szempontjából.

Legfontosabb szerepe az akaratlan adatszivárgás megakadályozása — a válaszban pontosan deklaráló mezők megadásával a FastAPI kiszűri az összes többi elemet (mint jelszóhasbok, belső jelzők vagy tokenek), még ha a kód is egy teljes adatbázis-objektumot ad vissza, így egy gyakori és súlyos biztonsági rést szüntessen meg.

Ezenkívül validálja a válaszokat a deklarált séma szerint (az olyan hibákat fogja meg, ahol nem megfelelő alakot küldesz vissza), biztosítja a helyes szerializálást, és dokumentálja a választ az automatikusan generált API dokumentációban.

A külön bemeneti és kimeneti modellek használatának mintája (a `response_model` irányítja, hogy mi kerül ki) az ajánlott eljárás a biztonságos, jól meghatározott API-k számára, így ez fontos tudás minden olyan végpont számára, amely adatokat ad vissza.