response_model ne için?

Question

Accepted Answer

**`response_model`** parametresi, bir endpoint'in yanıtının şeklini bildirir. FastAPI, döndürülen verileri **doğrulamak, filtrelemek ve seri hale getirmek** için kullanır — ve yanıtı API belgelerinde belgeler. En önemli görevi: yalnızca amaçlanan alanları açığa çıkardığınızdan emin olmak (örneğin, bir parola hiçbir zaman sızmaz).

## Problem: hassas alanların sızması

```python
class User(BaseModel):
    name: str
    email: str
    password: str        # ⚠️ should NEVER be in the response!

@app.get("/users/{id}")
def get_user(id: int) -> User:
    return db.get_user(id)   # returning the full object would expose the password
```

## Çözüm: ayrı bir yanıt modeli

```python
class UserOut(BaseModel):    # the SAFE public shape — no password
    name: str
    email: str

@app.get("/users/{id}", response_model=UserOut)
def get_user(id: int):
    return db.get_user(id)   # returns a full user, but FastAPI FILTERS it to UserOut
# response → { "name": "...", "email": "..." }  — password stripped automatically
```

`response_model=UserOut` ile FastAPI, döndürdüğünüz şeyi alır ve `UserOut`'ta beyan edilen alanlara **aşağı doğru filtreler** — böylece parola (ve diğer tüm ekstra alanlar) yanıttan çıkarılır, tam nesneyi döndürseniz bile.

## response_model ne yapar

```text
✓ FILTERS the output to only the declared fields (key for hiding sensitive data)
✓ VALIDATES that your response matches the declared schema (catches mistakes)
✓ SERIALIZES the data to JSON correctly
✓ DOCUMENTS the response shape in the OpenAPI/Swagger docs
```

## Modern alternatif: dönüş türü ek açıklaması

```python
@app.get("/users/{id}")
def get_user(id: int) -> UserOut:    # the -> return type works like response_model
    return db.get_user(id)
# response_model_exclude_unset=True → omit fields not explicitly set
```

## Neden önemli

`response_model` hem **güvenlik** hem de temiz API tasarımı için önemlidir.

En kritik rolü, istenmeyen veri sızıntılarını önlemektir — yanıtın hangi alanları içermesi gerektiğini tam olarak beyan ederek, FastAPI diğer her şeyi (parola hash'leri, dahili bayraklar veya token'lar gibi) filtreler, kodunuz tam bir veritabanı nesnesi döndürse bile, yaygın ve ciddi bir güvenlik açığını ortadan kaldırır.

Bunun ötesinde, yanıtlarınızı beyan edilen bir şemaya karşı doğrular (yanlış şekli döndürdüğünüz hataları yakalar), doğru serileştirmeyi sağlar ve yanıtı otomatik olarak oluşturulan API belgelerinde belgeler.

Ayrı giriş ve çıkış modellerini kullanma deseni (`response_model` hangi şeyin açığa çıkarıldığını kontrol ederek) güvenli, iyi tanımlanmış API'ler için en iyi uygulamadır ve bu bilgiyi veri döndüren herhangi bir endpoint için önemli hale getirir.