$hidden 和 $appends 在 API 响应中不生效，是因为直接 json_encode() 绕过 Eloquent 序列化，而 toJson()、ApiResource 或 toArray() 才会尊重这些配置；同时需注意 $casts 冲突、访问器命名规范及关系模型隐藏逻辑不自动继承。
为什么 $hidden 和 $appends 在 API 响应里不生效
常见现象是：模型定义了 $hidden = ['password']，但用 json_encode($user) 或直接 return $user 时，password 仍出现；或者 $appends = ['full_name'] 定义了访问器，但响应里没这个字段。
根本原因是：Eloquent 的序列化行为只在「被转为数组或 JSON」时才触发，且依赖于调用方式。直接 json_encode() 绕过了 Eloquent 的序列化逻辑，而 Laravel 的 API 资源（Resource）或 toArray() 才会尊重 $hidden/$appends。
- 用
json_encode($model)→ 不走 Eloquent 序列化 →$hidden/$appends无效 - 用
$model->toJson()或response()->json($model)→ 走 Eloquent 序列化 → 生效 - 用
ApiResource→ 默认调用toArray()→ 生效，但需确保访问器已定义getFullNameAttribute()
$hidden 和 $casts 冲突导致字段意外暴露
当字段同时出现在 $hidden 和 $casts 中（比如 'remember_token' => 'string'），Laravel 5.8+ 会优先按 $casts 处理类型转换，但若该字段未被显式访问过，它可能在序列化时“漏掉”隐藏逻辑，尤其在使用 makeHidden() 动态操作后。
- 避免在
$casts里声明敏感字段，除非真需要类型转换；否则仅靠$hidden更安全 - 如果必须 cast，确认该字段从未在查询中被
select()显式选中（否则可能绕过隐藏） - 动态隐藏建议用
$user->makeHidden(['password', 'remember_token'])，而非依赖静态属性
$appends 字段返回 null 或空字符串的典型原因
定义了 $appends = ['is_admin']，但响应里 is_admin 是 null，不是布尔值——这通常不是序列化问题，而是访问器逻辑未覆盖所有情况。
立即学习“PHP免费学习笔记（深入）”；
- 访问器函数名必须严格为
getIsAdminAttribute()（驼峰转下划线 +Attribute后缀） - 访问器内不能依赖未加载的关系，比如
$this->role->name，若role()关系未with()预加载，会返回null，进而使访问器返回null - 访问器里避免抛异常，Eloquent 会静默吞掉错误并返回
null - 测试访问器是否工作：在 tinker 里执行
$user->is_admin，看是否如预期
API 响应中混合使用 Resource 和原始模型时的字段一致性风险
项目里一部分接口用 UserResource::collection($users)，另一部分直接 return $users（集合自动转 JSON），结果字段不一致：前者遵守 $hidden，后者可能因集合序列化路径不同而漏掉隐藏。
- Laravel 对
Collection调用toJson()时，会逐个调用模型的toArray()，所以仍受$hidden控制；但前提是没手动调用items或map()破坏上下文 - 最稳妥的做法是统一入口：所有 API 响应都经由
Resource，哪怕只是简单包装：return new UserResource($user) - 若不用 Resource，至少确保返回前调用
$user->toArray()或$user->toJson()，别裸传模型实例
真正容易被忽略的是：关系模型的 $hidden 不会自动继承到父模型的序列化结果里。比如 User 有 posts() 关系，Post 模型设了 $hidden = ['content']，但 return $user->load('posts') 仍可能暴露 posts.*.content——因为默认 eager loading 不触发子模型的隐藏逻辑，除非你显式调用 $user->makeHidden(['posts']) 并改用 Resource 分层控制。
