Eloquent 的 $casts、$hidden、$visible 仅影响 JSON 序列化输出，不干预数据库操作和属性访问；$hidden 失效常因直接 json_encode 或 getAttributes() 绕过模型序列化；$casts 不控制敏感数据，加密须用 Hash::make()；真正数据最小化应结合 select 投影与 Resource 类显式定义响应字段。
Eloquent 的 $casts、$hidden、$visible 不是“隐私状态”，它们只是序列化/JSON 输出时的字段过滤机制，对数据库读写、模型属性访问完全无影响——别被“Privacy States”这种误导性说法带偏。
为什么 $hidden 和 $visible 在 API 返回里失效？
常见现象：模型设置了 $hidden = ['password', 'remember_token']，但用 response()->json($user) 仍看到敏感字段。
- 检查是否用了
toArray()或toJson()以外的方式——比如直接json_encode($user)，这会绕过 Eloquent 的隐藏逻辑，必须走模型自身的序列化流程 - 确认没在控制器里手动调用
$user->getAttributes()或array_merge(...)拼数组，这些操作会跳过$hidden - Laravel 10+ 中，若启用了
APP_DEBUG=false且模型用了__serialize()自定义方法，可能干扰默认行为；优先删掉自定义序列化逻辑测试
$casts 能防止敏感数据泄露吗？
不能。它只控制属性赋值和取值时的类型转换（如 'is_active' => 'boolean'），不参与字段可见性控制。
- 把密码字段设为
'password' => 'encrypted'是无效写法——Eloquent 没有encrypted这个 cast 类型，会静默失败或报错Unsupported cast type: encrypted - 真正加密应靠
Hash::make()存储、Hash::check()验证，和 cast 无关 - 若想自动脱敏输出（如手机号显示为 138****1234），得用 Accessor：
getPhoneAttribute()，而不是依赖$casts
如何真正实现“数据最小化”？
靠组合使用模型配置 + 显式投影 + 资源类（Resource），不是靠某个 magic 属性。
立即学习“PHP免费学习笔记（深入）”；
- 查库时就限制字段：
User::select('id', 'name', 'email')->find(1)，避免select *带出所有字段 - API 输出强制走
Resource类：new UserResource($user)，在toArray()方法里只返回需要的字段，比$hidden更可控、可复用 - 敏感字段（如余额、身份证号）建议加注释标记，例如：
// @sensitive financial_balance，配合静态分析或 Code Review 提醒 - 不要在模型里写
$visible = ['id', 'name']并期望它全局生效——不同接口要的字段不同，硬编码 visible 反而容易漏掉新字段或暴露不该暴露的
真正的数据最小化，是每次查询和每次响应都明确“我要什么”，而不是指望一个配置项替你做决定。尤其当模型关联了十几个表、字段上百时，$hidden 很快就会变成维护噩梦。
