Untuk apa response_model itu?

Question

Accepted Answer

Parameter **`response_model`** mengisytiharkan bentuk respons endpoint. FastAPI menggunakannya untuk **mengesahkan, menapis, dan menyusun** data yang dikembalikan — dan untuk mendokumentasikan respons dalam dokumentasi API. Tugas paling pentingnya: memastikan Anda hanya mendedahkan medan yang dimaksudkan (cth. tidak pernah bocor kata laluan).

## Masalah: kebocoran medan sensitif

```python
class User(BaseModel):
    name: str
    email: str
    password: str        # ⚠️ should NEVER be in the response!

@app.get("/users/{id}")
def get_user(id: int) -> User:
    return db.get_user(id)   # returning the full object would expose the password
```

## Penyelesaian: model respons berasingan

```python
class UserOut(BaseModel):    # the SAFE public shape — no password
    name: str
    email: str

@app.get("/users/{id}", response_model=UserOut)
def get_user(id: int):
    return db.get_user(id)   # returns a full user, but FastAPI FILTERS it to UserOut
# response → { "name": "...", "email": "..." }  — password stripped automatically
```

Dengan `response_model=UserOut`, FastAPI mengambil apa yang Anda kembalikan dan **menapisinya ke bawah** hanya ke medan yang diisytiharkan dalam `UserOut` — jadi kata laluan (dan medan tambahan lain) dilucutkan daripada respons, walaupun Anda mengembalikan objek lengkap.

## Perkara yang dilakukan response_model

```text
✓ FILTERS the output to only the declared fields (key for hiding sensitive data)
✓ VALIDATES that your response matches the declared schema (catches mistakes)
✓ SERIALIZES the data to JSON correctly
✓ DOCUMENTS the response shape in the OpenAPI/Swagger docs
```

## Alternatif moden: anotasi jenis pulangan

```python
@app.get("/users/{id}")
def get_user(id: int) -> UserOut:    # the -> return type works like response_model
    return db.get_user(id)
# response_model_exclude_unset=True → omit fields not explicitly set
```

## Mengapa ia penting

`response_model` penting untuk kedua-dua **keselamatan** dan reka bentuk API yang bersih.

Peranannya yang paling kritikal: mencegah kebocoran data yang tidak disengajakan — dengan mengisytiharkan medan mana yang harus terkandung dalam respons, FastAPI menapis segala sesuatu yang lain (seperti hash kata laluan, bendera dalaman, atau token) walaupun kod Anda mengembalikan objek pangkalan data lengkap, menghapuskan kerentanan yang biasa dan serius.

Sebalik itu, ia mengesahkan respons Anda terhadap skema yang diisytiharkan (menangkap pepijat di mana Anda mengembalikan bentuk yang salah), memastikan penyusunan yang betul, dan mendokumentasikan respons dalam dokumentasi API yang dijana secara automatik.

Pola menggunakan model masukan dan keluaran yang berasingan (dengan `response_model` mengawal apa yang terdedah) adalah amalan terbaik untuk API yang selamat dan jelas ditakrifkan, menjadikan pengetahuan ini penting untuk sebarang titik akhir yang mengembalikan data.