$hidden仅在模型调用toArray()或toJson()时生效，若手动调用getAttributes()、attributes或array_merge等绕过序列化逻辑，则完全失效；它不控制属性读取，仅影响最终输出阶段。
$hidden 和 $visible 是静态配置，动态控制必须绕过它们直接操作实例——否则管理员看密码、日志打全量字段、API 响应泄露敏感数据，都是因为误以为设了 $hidden = ['password'] 就万事大吉。
为什么 $hidden 在 response()->json($user) 里经常失效
根本原因：Eloquent 的 $hidden 只在模型调用 toArray() 或 toJson() 时起作用；但如果你在控制器里写了 response()->json($user->getAttributes())、json_encode($user->attributes)，或者用了 array_merge($user->toArray(), [...])，就等于手动跳过了模型的序列化逻辑。$hidden 完全不参与属性读取过程，只影响最终输出阶段。
常见错误场景：
- 用
User::find(1)->getAttributes()拼响应体 → 敏感字段原样暴露 - 在 Resource 类外直接
return $user→ Laravel 自动调用toJson()，看似 OK，但一旦中间加了->makeHidden()却没生效，大概率是调用时机错了（比如在查询之后、Resource 实例化之前漏掉了） - 分页集合用
$users->makeVisible(['email'])却没反应 →makeVisible()是实例方法，不能直接用于集合，得用$users->each->makeVisible('email')或更稳妥的$users->setVisible([...])
makeHidden() 和 setHidden() 的区别与适用场景
makeHidden() 是“追加隐藏”，它在原有 $hidden 基础上再加字段；setHidden() 是“覆盖隐藏”，它完全替换当前实例的隐藏规则。两者都只影响当前模型实例，不影响其他实例或类定义。
立即学习“PHP免费学习笔记（深入）”；
典型用法：
Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。
- 普通用户接口：先
$user->makeHidden(['api_token', 'last_login_ip'])，保留模型默认$hidden的同时额外屏蔽运营字段 - 后台导出 CSV：用
$user->setVisible(['id', 'name', 'email', 'created_at'])，彻底丢弃所有默认规则，确保字段绝对可控 - 调试时临时查看密码：
$user->makeVisible('password')，比改模型文件安全得多 - 分页结果统一处理：
$users->setHidden(['password', 'remember_token'])，比循环调用makeHidden()更高效且语义清晰
关联关系的字段隐藏必须写方法名，不是表字段名
想隐藏 posts 关联？得把 'posts' 加进 $hidden，而不是 'post_title' 或 'posts.title'。Eloquent 序列化时，关联是以方法名为键展开的，和数据库字段名无关。
如果关联已预加载（with('posts')），但 JSON 里还是出现了 posts 字段，检查以下几点：
- 模型中是否漏写了
protected $hidden = ['posts']; - 是否在控制器里用了
$user->posts->toArray()单独序列化关联，这会绕过主模型的$hidden - 关联模型自身也有
$hidden，但你没在主模型里显式调用makeVisible('posts')→ 主模型隐藏了posts键，子模型的隐藏规则压根没机会触发
真正安全的动态字段控制，应该放弃 $hidden 依赖
靠 $hidden + makeHidden() 组合拳，本质还是在“打补丁”。复杂权限场景下（如：A 角色看 email，B 角色只看 name，C 角色还能看 last_login_at），硬编码字段列表很快失控。
更健壮的做法：
- 强制走
UserResource，在toArray()里用$this->when($request->user()->can('view-email'), [...])控制字段级权限 - 查库时就投影：
User::select('id', 'name', 'email')->where(...)->get()，避免select *带出所有字段再过滤 - 敏感字段加 PHPDoc 注释标记，如
// @sensitive api_token，配合静态分析工具做 CI 检查
记住：Eloquent 的 $hidden 不是访问控制层，它只是 JSON 输出前的最后一道薄纱。真要防住数据泄露，得从查询、传输、渲染三层分别设防，而不是指望一个数组配置项替你兜底。
