Kaj je response_model namenjen?

Question

IT Interview Practice · Accepted Answer

Parameter **`response_model`** deklari obliko odziva končne točke. FastAPI ga uporablja za **validacijo, filtriranje in serializacijo** vrnjenih podatkov — ter za dokumentiranje odziva v dokumentaciji API-ja. Njegova najpomembnejša naloga: zagotavljanje, da razkrijete samo predvidena polja (npr. nikoli ne puščate dostopa do gesla).

## Problem: puščanje občutljivih polj

```python
class User(BaseModel):
    name: str
    email: str
    password: str        # ⚠️ should NEVER be in the response!

@app.get("/users/{id}")
def get_user(id: int) -> User:
    return db.get_user(id)   # returning the full object would expose the password
```

## Rešitev: ločen model odziva

```python
class UserOut(BaseModel):    # the SAFE public shape — no password
    name: str
    email: str

@app.get("/users/{id}", response_model=UserOut)
def get_user(id: int):
    return db.get_user(id)   # returns a full user, but FastAPI FILTERS it to UserOut
# response → { "name": "...", "email": "..." }  — password stripped automatically
```

S `response_model=UserOut` FastAPI vzame karkoli vrnete in ga **filtrira navzdol** samo na polja, deklarirana v `UserOut` — tako je geslo (in vsa druga dodatna polja) odstranjeno iz odziva, čeprav ste vrnili polni objekt.

## Kaj počne response_model

```text
✓ FILTERS the output to only the declared fields (key for hiding sensitive data)
✓ VALIDATES that your response matches the declared schema (catches mistakes)
✓ SERIALIZES the data to JSON correctly
✓ DOCUMENTS the response shape in the OpenAPI/Swagger docs
```

## Moderni alternativni: anotacija povratnega tipa

```python
@app.get("/users/{id}")
def get_user(id: int) -> UserOut:    # the -> return type works like response_model
    return db.get_user(id)
# response_model_exclude_unset=True → omit fields not explicitly set
```

## Zakaj je to pomembno

`response_model` je pomemben za **varnost** in čisto oblikovanje API-ja.

Negova najbolj kritična vloga je preprečevanje naključnih puščanj podatkov — z deklarcijo natančno, katera polja bi morala biti v odzivu, FastAPI filtrira vse ostalo (kot so zgoščene gesla, notranji zastavice ali žetoni), čeprav vaša koda vrne polni objekt baze podatkov, kar odpravi pogosto in resno ranljivost.

Poleg tega validira vaše odgovore glede na deklariran shemo (prihvata napake, kjer vrnete napačno obliko), zagotavlja pravilno serializacijo in dokumentira odziv v samodejno generirani dokumentaciji API-ja.

Vzorec uporabe ločenih vhodnih in izhodnih modelov (z `response_model` nadzorem, kaj je izpostavljeno) je najbolja praksa za varne, dobro opredeljene API-je, kar naredi to znanje pomembno za katero koli končno točko, ki vrača podatke.

Problem: puščanje občutljivih polj

Rešitev: ločen model odziva

Kaj počne response_model

Moderni alternativni: anotacija povratnega tipa

Zakaj je to pomembno

Povezana vprašanja