$hidden不起作用是因为未触发Eloquent序列化，仅在toArray()、toJson()或API响应时生效；直接print_r($model->attributes)或使用DB::table()等绕过模型机制的操作均不尊重该配置。
为什么 $hidden 不起作用？检查模型是否被序列化为数组或 JSON
直接设置 $hidden 属性无效，往往是因为你没在真正触发 Eloquent 的序列化逻辑。比如用 toArray() 或 json_encode($model) 时才生效；而直接 print_r($model->attributes) 会看到全部字段，包括被 $hidden 掩盖的——这不是 bug，是设计如此。
-
$hidden只影响toArray()、toJson()、API 响应自动转换等「输出序列化」场景 - 模型实例内部的
$attributes数组始终完整，$hidden不会删它、也不改它 - 若用了
DB::table()或原生查询，Eloquent 模型机制压根没启动，$hidden完全不参与
如何彻底不让敏感字段进响应？优先用 $hidden + $casts 组合
仅靠 $hidden 能抑制字段输出，但若字段本身含敏感值（如明文密码），最好先确保它不被读取或不被存入 $attributes。常见做法是配合 $casts 和访问器控制：
- 把密码字段声明为
'password' => 'encrypted'（需自定义 cast）或直接设为'password' => 'string'防止自动转为 object/array - 在模型中加访问器
getPasswordAttribute()返回null或抛异常，避免意外读取 -
$hidden = ['password', 'api_token', 'remember_token']必须写在模型类里，且字段名要和数据库列名完全一致（区分大小写）
示例：
class User extends Model
{
protected $hidden = ['password', 'remember_token'];
protected $casts = [
'email_verified_at' => 'datetime',
];
// 额外防护：禁止通过属性访问获取密码
public function getPasswordAttribute()
{
return null;
}
}
API 响应中仍暴露字段？检查资源类（Resource）是否绕过了 $hidden
用 ApiResource 时，$hidden 默认失效——因为 Resource 是手动定义 toArray() 的，它不读模型的 $hidden。这时候必须显式过滤：
立即学习“PHP免费学习笔记（深入）”；
- 不要写
return $this->resource->toArray();，这会绕过所有隐藏逻辑 - 改用
return $this->resource->makeHidden(['password'])->toArray(); - 更稳妥的是在 Resource 中只列出需要的字段：
return ['id' => $this->id, 'name' => $this->name]; - 如果用了
JsonResource::withoutWrapping()，确认没有在控制器里又调了一次toArray()
想物理删除字段？别动 $attributes，用 unset() 或 map() 更可控
极少数场景（如导出 CSV、调试日志）真需要从数组里删掉字段，不能依赖 $hidden——得手动处理：
-
unset($user->attributes['password'])不安全：会破坏模型状态，后续 save() 可能误删 DB 字段 - 正确做法是复制后过滤：
array_diff_key($user->toArray(), array_flip(['password', 'token'])) - 或用集合：
$user->only(['id', 'name', 'email'])—— 显式白名单比黑名单更可靠 - 注意：Laravel 10+ 中
$user->getAttributes()返回副本，可安全操作，但$user->attributes是引用，慎改
敏感字段的真正风险不在“显示”，而在“被构造、被传递、被缓存”。$hidden 是开关，不是保险箱；最容易被忽略的是中间件、日志、队列任务里无意 dump 了整个模型——那里连 $hidden 都不生效。
