response_model کس کے لیے ہے؟

Question

Accepted Answer

**`response_model`** پیرامیٹر ایک endpoint کے جواب کی شکل کو بیان کرتا ہے۔ FastAPI اسے **validate، filter، اور serialize** کرنے والے ڈیٹا کے لیے استعمال کرتا ہے — اور API docs میں جواب کو دستاویز کرتا ہے۔ اس کا سب سے اہم کام: یقینی بنانا کہ آپ صرف مطلوبہ fields کو expose کریں (مثال کے طور پر کبھی password leak نہ کریں)۔

## مسئلہ: حساس fields کو leak کرنا

```python
class User(BaseModel):
    name: str
    email: str
    password: str        # ⚠️ should NEVER be in the response!

@app.get("/users/{id}")
def get_user(id: int) -> User:
    return db.get_user(id)   # returning the full object would expose the password
```

## حل: ایک الگ response model

```python
class UserOut(BaseModel):    # the SAFE public shape — no password
    name: str
    email: str

@app.get("/users/{id}", response_model=UserOut)
def get_user(id: int):
    return db.get_user(id)   # returns a full user, but FastAPI FILTERS it to UserOut
# response → { "name": "...", "email": "..." }  — password stripped automatically
```

`response_model=UserOut` کے ساتھ، FastAPI جو کچھ بھی آپ return کرتے ہیں اسے **فلٹر کرتا ہے** تاکہ صرف `UserOut` میں declared fields رہیں — تو password (اور کوئی بھی دوسری اضافی fields) جواب سے ہٹا دی جاتی ہے، یہاں تک کہ آپ نے مکمل object return کیا ہو۔

## response_model کیا کرتا ہے

```text
✓ FILTERS the output to only the declared fields (key for hiding sensitive data)
✓ VALIDATES that your response matches the declared schema (catches mistakes)
✓ SERIALIZES the data to JSON correctly
✓ DOCUMENTS the response shape in the OpenAPI/Swagger docs
```

## جدید متبادل: return type annotation

```python
@app.get("/users/{id}")
def get_user(id: int) -> UserOut:    # the -> return type works like response_model
    return db.get_user(id)
# response_model_exclude_unset=True → omit fields not explicitly set
```

## یہ کیوں اہم ہے

`response_model` **سیکیورٹی** اور صاف API design دونوں کے لیے اہم ہے۔

اس کا سب سے اہم کردار تاہم غیر ارادی ڈیٹا leaks کو روکنا ہے — بالکل بیان کرتے ہوئے کہ جواب میں کون سے fields ہونے چاہیں، FastAPI سب کچھ اور فلٹر کرتا ہے (جیسے password hashes، اندرونی flags، یا tokens) یہاں تک کہ اگر آپ کا کوڈ مکمل database object return کرتا ہے، ایک عام اور سنگین vulnerability کو ختم کرتے ہوئے۔

اس کے علاوہ، یہ آپ کے جوابات کو declared schema کے خلاف validate کرتا ہے (bugs پکڑتے ہوئے جہاں آپ غلط شکل return کرتے ہیں)، صحیح serialization کو یقینی بناتا ہے، اور auto-generated API docs میں جواب کو دستاویز کرتا ہے۔

الگ input اور output models استعمال کرنے کا pattern (جس میں `response_model` control کرتا ہے کہ کیا expose ہو) محفوظ، اچھی طرح سے defined APIs کے لیے بہترین طریقہ ہے، یہ کسی بھی endpoint کے لیے اہم علم بناتا ہے جو ڈیٹا return کرتا ہے۔