Kam skirtas response_model?

Question

Accepted Answer

Parametras **`response_model`** deklaruoja galinčios atsakymo formą. FastAPI jį naudoja **grąžintų duomenų patikrinimui, filtravimui ir serializavimui** — ir atsakymo dokumentavimui API dokumentacijoje. Jo svarbiausias vaidmuo: užtikrinti, kad atskleisite tik numatytas laukus (pvz., niekada neperdaviate slaptažodžio).

## Problema: jautrios informacijos nutek imas

```python
class User(BaseModel):
    name: str
    email: str
    password: str        # ⚠️ should NEVER be in the response!

@app.get("/users/{id}")
def get_user(id: int) -> User:
    return db.get_user(id)   # returning the full object would expose the password
```

## Sprendimas: atskiras atsako modelis

```python
class UserOut(BaseModel):    # the SAFE public shape — no password
    name: str
    email: str

@app.get("/users/{id}", response_model=UserOut)
def get_user(id: int):
    return db.get_user(id)   # returns a full user, but FastAPI FILTERS it to UserOut
# response → { "name": "...", "email": "..." }  — password stripped automatically
```

Su `response_model=UserOut`, FastAPI paima viską, ką grąžinate, ir **filtruoja iki** tik `UserOut` deklaruotų laukų — todėl slaptažodis (ir bet kurie kiti papildomi laukai) pašalinami iš atsako, net jei grąžinate visą objektą.

## Ką daro response_model

```text
✓ FILTERS the output to only the declared fields (key for hiding sensitive data)
✓ VALIDATES that your response matches the declared schema (catches mistakes)
✓ SERIALIZES the data to JSON correctly
✓ DOCUMENTS the response shape in the OpenAPI/Swagger docs
```

## Šiuolaikinis alternativas: grąžinimo tipo anotacija

```python
@app.get("/users/{id}")
def get_user(id: int) -> UserOut:    # the -> return type works like response_model
    return db.get_user(id)
# response_model_exclude_unset=True → omit fields not explicitly set
```

## Kodėl tai svarbu

`response_model` yra svarbus tiek **saugumui**, tiek švariam API projektavimui.

Jo kritičiausias vaidmuo: nuo tyčinio duomenų nutek imo apsauga — deklaravus tiksliai, kurie laukai turėtų būti atsake, FastAPI filtruoja viską kitą (tokį kaip slaptažodžio hešai, vidinės žymos ar token ai) net jei jūsų kodas grąžina pilną duomenų bazės objektą, pašalinant bendrą ir rimtą pažeidžiamumą.

Be to, jis patikrina jūsų atsakus pagal deklaruotą schemą (sufiksavus klaidų, kai grąžinate klaidingą formą), užtikrina tinkamą serializavimą ir dokumentuoja atsako auto-generuotoje API dokumentacijoje.

Atskirų įvesties ir išvesties modelių naudojimo modelis (`response_model` kontroliuoja, kas yra atidaryta) yra geriausias saugiųjų, gerai apibrėžtų API projektavimas, todėl šis žinojimas yra svarbus bet kuriam galinčiui duomenis grąžinti.