response_model ใช้สำหรับอะไร

Question

Accepted Answer

พารามิเตอร์ **`response_model`** ประกาศรูปแบบของการตอบสนองของ endpoint FastAPI ใช้เพื่อ **ตรวจสอบ กรอง และสมดุล** ข้อมูลที่ส่งกลับ — และเอกสารการตอบสนองในเอกสาร API งานที่สำคัญที่สุด: เพื่อให้แน่ใจว่าคุณเปิดเผยเฉพาะช่องที่ต้องการเท่านั้น (เช่น ห้ามรั่วไหลรหัสผ่าน)

## ปัญหา: รั่วไหลของช่องที่ละเอียดอ่อน

```python
class User(BaseModel):
    name: str
    email: str
    password: str        # ⚠️ should NEVER be in the response!

@app.get("/users/{id}")
def get_user(id: int) -> User:
    return db.get_user(id)   # returning the full object would expose the password
```

## แนวทางแก้ไข: แบบจำลองการตอบสนองแยกต่างหาก

```python
class UserOut(BaseModel):    # the SAFE public shape — no password
    name: str
    email: str

@app.get("/users/{id}", response_model=UserOut)
def get_user(id: int):
    return db.get_user(id)   # returns a full user, but FastAPI FILTERS it to UserOut
# response → { "name": "...", "email": "..." }  — password stripped automatically
```

ด้วย `response_model=UserOut` FastAPI จะนำสิ่งที่คุณส่งกลับและ **กรองลง** เป็นเพียงช่องที่ประกาศใน `UserOut` — ดังนั้นรหัสผ่าน (และช่องเพิ่มเติมอื่น ๆ) จะถูกลบออกจากการตอบสนอง แม้ว่าคุณส่งคืนวัตถุแบบเต็ม

## response_model ทำอะไร

```text
✓ FILTERS the output to only the declared fields (key for hiding sensitive data)
✓ VALIDATES that your response matches the declared schema (catches mistakes)
✓ SERIALIZES the data to JSON correctly
✓ DOCUMENTS the response shape in the OpenAPI/Swagger docs
```

## ทางเลือกสมัยใหม่: หมายเหตุประเภทส่งคืน

```python
@app.get("/users/{id}")
def get_user(id: int) -> UserOut:    # the -> return type works like response_model
    return db.get_user(id)
# response_model_exclude_unset=True → omit fields not explicitly set
```

## ทำไมจึงสำคัญ

`response_model` มีความสำคัญสำหรับ **ความปลอดภัย** และการออกแบบ API ที่สะอาด

บทบาทที่สำคัญที่สุด: การป้องกันการรั่วไหลของข้อมูลโดยไม่ตั้งใจ — โดยการประกาศอย่างชัดเจนว่าช่องใดที่ควรมีอยู่ในการตอบสนอง FastAPI จะกรองข้อมูลอื่น ๆ ทั้งหมด (เช่น hash รหัสผ่าน แฟล็กภายใน หรือโทเค็น) แม้ว่าโค้ดของคุณส่งคืนวัตถุฐานข้อมูลแบบเต็ม ซึ่งช่วยขจัดความเสี่ยงที่พบบ่อยและร้ายแรง

นอกจากนี้ ยังตรวจสอบการตอบสนองของคุณกับโครงร่างที่ประกาศ (จับข้อบกพร่องที่คุณส่งคืนรูปแบบที่ผิด) ทำให้มั่นใจในการสมดุลที่ถูกต้อง และเอกสารการตอบสนองในเอกสาร API ที่สร้างขึ้นโดยอัตโนมัติ

รูปแบบของการใช้แบบจำลองอินพุตและเอาต์พุตแยกต่างหาก (ด้วย `response_model` ควบคุมว่าจะเปิดเผยอะไร) เป็นแนวปฏิบัติที่ดีที่สุดสำหรับ API ที่ปลอดภัยและมีการกำหนดไว้อย่างชัดเจน ทำให้ความรู้นี้สำคัญสำหรับ endpoint ใด ๆ ที่ส่งกลับข้อมูล