ThinkPHP中$visible用于模型转数组/JSON时的字段白名单控制，需声明为protected，优先级高于$hidden，字段名须与数据库列名完全一致；动态调用visible()更灵活，但需注意访问器字段默认不受控，建议API层统一收口并结合$hidden兜底。
模型里用 protected $visible 控制返回字段
ThinkPHP 的模型默认会把所有字段都转成数组或 JSON，但接口经常只需要几个字段（比如只传 id、title、status），这时候靠 $visible 最直接。它不是过滤查询 SQL，而是在模型转数组/JSON 时做字段白名单拦截。
常见错误是写成 $visible = ['id', 'name'] 却没加 protected 修饰符，导致不生效；或者在控制器里调用 toArray() 前忘了先调用 hidden() 或 visible() 方法（其实不用，$visible 是声明式生效的）。
-
$visible必须是protected，public或private都无效 - 只对
toArray()、toJson()、toXml()等导出方法起作用，不影响数据库查询本身 - 如果同时定义了
$visible和$hidden，$visible优先级更高 - 字段名必须和数据库列名完全一致（区分大小写），比如数据库是
user_name，就不能写成userName
动态设置可见字段比静态声明更灵活
硬编码 $visible 在模型里容易僵化——同一个模型可能在用户列表页要 4 个字段，在详情页要 8 个。这时用 visible() 方法动态控制更合适。
典型场景：API 接口带 fields=id,title,cover 参数，按需返回字段。注意 visible() 只影响当前实例，不会污染模型类定义。
立即学习“PHP免费学习笔记（深入）”；
- 调用顺序很重要：
$model->visible(['id', 'title'])->toArray()才生效；写成$model->toArray()->visible(...)没用（toArray()返回的是数组） -
visible()传空数组[]表示“一个字段都不返回”，不是“恢复全部” - 如果字段含关联模型（如
category.name），visible()不处理嵌套字段，得靠with()+ 关联模型自己的$visible - 性能上无额外开销，只是 PHP 数组键过滤，但别在循环里反复调用
visible()创建新实例
toArray() 不触发 $visible？检查是否用了 getAttr 或访问器
有时明明写了 $visible = ['id', 'name']，但 toArray() 还是返回了全部字段。大概率是模型里定义了 getXXXAttr 访问器，而访问器返回的值会被自动加入结果——哪怕字段名不在 $visible 里。
比如定义了 getFullnameAttr，即使没在 $visible 列表中，toArray() 仍会包含 fullname 键。这不是 bug，是 ThinkPHP 的设计逻辑：访问器视为“计算字段”，默认开放。
- 想让访问器也受控，得手动在访问器里加判断，或改用
append()显式追加（append()的字段才受$visible影响） -
append(['fullname'])后，$visible才会对fullname生效 - 调试时可 dump
$model->getData()和$model->toArray()对比，看多出来的字段是不是来自访问器 - 别依赖 IDE 自动补全去猜字段名，
getFullnameAttr对应的键是fullname（小写），不是Fullname
API 层统一收口比每个模型写 $visible 更可持续
项目大了以后，每个模型都维护一套 $visible 容易漏、难同步。更稳的做法是在 API 响应层统一处理，比如封装一个 apiSuccess($data, $fields = []) 工具函数，内部用 Arr::only() 或模型的 visible()。
这样字段规则集中在一处，前端改个需求只需改配置，不用翻 10 个模型文件。但要注意：这种方案绕过了模型自身的 $visible，如果模型里有敏感字段（如 password_hash），光靠外层过滤不保险，仍需在模型里用 $hidden 做兜底。
- 不要在控制器里写
return json($model->visible([...])->toArray())太多次，提取成 service 方法 - 如果用
Collection处理列表，visible()要对每个模型实例单独调用，不能直接对集合调用 - 第三方包（如 think-orm）升级后可能调整
visible()行为，建议在测试用例里覆盖关键字段输出断言 - 最易被忽略的一点：时间字段（
create_time）常被格式化访问器接管，它是否出现在响应里，取决于访问器是否被append或硬编码进$visible，而不是数据库字段本身
