$hidden仅在模型序列化时过滤字段，不影响数据库查询和原始数据读取；需严格匹配字段名，不作用于关联模型或append字段，且toArray(true)、手动拼数组、Db类查询等场景均绕过该机制。
ThinkPHP 的 $hidden 属性是模型层最基础的字段过滤机制，但它只在**模型序列化时生效**，不是数据库查询过滤，也不影响原始数据读取。用错场景或写法，敏感字段照样会暴露。
hidden 只作用于 toArray() 和 toJson() 等序列化过程
它不会阻止数据库查出 password 字段，只是在转数组或 JSON 时把对应键从结果里剔除：
-
User::find(1)->toArray()✅ 尊重$hidden -
User::find(1)->toJson()✅ 底层调用toArray()，也受控 -
json_encode(User::find(1))❌ 绕过所有模型逻辑，直接序列化对象属性 -
User::field('id,password')->find(1)->toArray()❌ 数据库已查出 password，$hidden只是“不显示”，不是“不查”
字段名必须严格匹配，且仅限当前模型原始字段
大小写、下划线、前缀都不能错，关联模型字段也不会被自动过滤：
- 数据库列是
user_id，就写'user_id'，不能写'userId'或'User_id' - 写了
protected $hidden = ['password']，但关联模型Profile里的id_card仍会原样输出 - 想隐藏关联字段，得在
Profile模型里单独加protected $hidden = ['id_card'] -
append添加的虚拟字段（如_mobile_masked）默认不受$hidden影响，需显式列入
别踩这些常见坑
很多“hidden 不生效”的问题，其实根本没走到它的执行路径：
立即学习“PHP免费学习笔记（深入）”；
- 用了
toArray(true)—— 这个true表示强制全量导出，$hidden和$visible全部失效 - 手动拼数组：
['id' => $user->id, 'password' => $user->password]—— 直接取值，模型规则彻底旁路 - 用
Db::name('user')->select()替代UserModel::select()—— 完全不经过模型实例，$hidden压根不启动 - 在控制器里临时改
$user->hidden = ['password']——$hidden是类属性，运行时赋值无效
安全建议：优先用 visible 白名单
比起黑名单式隐藏，白名单更可控，尤其字段多、权限细的接口：
- 删掉
$hidden，改用protected $visible = ['id', 'username', 'avatar'] - 不同接口可动态切换：
$user->visible(['id','username'])->toArray() - 关联模型也要各自配
$visible，不会继承主模型设置 - 空数组
[]表示“一个字段都不返回”，不是“返回全部”
