FastAPI中exclude参数在Pydantic v2下不支持Field中声明，需通过.model_dump(exclude={...})手动调用或在model_config中配置（v2.6+），静态exclude无法处理动态权限脱敏和嵌套模型穿透排除。
Pydantic 的 exclude 参数在 FastAPI 中对响应模型生效，但仅当字段被声明为 Field(...) 或有默认值时才参与序列化；直接用 exclude 无法隐藏未声明的字段或运行时动态计算的敏感字段。
FastAPI 响应模型中用 exclude 排除字段的正确写法
Pydantic v2（FastAPI 0.103+ 默认）中，exclude 必须作用于模型实例或 .model_dump() 调用，不能在模型定义时静态排除——因为 FastAPI 自动调用 .model_dump() 时默认不传 exclude。
- 在路由函数返回前手动调用
.model_dump(exclude={"password", "ssn"})，再包进JSONResponse，是最可控的方式 - 若坚持用声明式响应模型（如
response_model=UserOut），需确保UserOut本身不包含敏感字段：要么继承时删掉字段，要么用model_config = {"exclude": {"password"}}（仅 Pydantic v2.6+ 支持该配置项） - 注意
exclude接受字符串、集合、字典（用于嵌套排除）；exclude={"credit_card": True}才能排除嵌套字段，exclude={"credit_card"}无效
为什么 Field(default=None, exclude=True) 不起作用
这是常见误解：exclude=True 是 Pydantic v1 的写法，v2 已废弃；v2 中 Field 不再支持 exclude 参数，它只影响模型构建时的校验和默认值行为，不影响序列化输出。
- 试图写
password: str = Field(..., exclude=True)会报TypeError: Field() got an unexpected keyword argument 'exclude' - 真正有效的脱敏方式是：定义字段但不在
.model_dump()时包含它，或用@computed_field+exclude控制输出 - 如果字段本就不该出现在 API 响应里，最干净的做法是压根不在输出模型中定义它，而不是靠排除
处理动态/条件性脱敏（如仅对非管理员隐藏手机号）
静态 exclude 无法满足权限相关脱敏逻辑，必须在运行时干预序列化过程。
立即学习“Python免费学习笔记（深入）”；
- 不要依赖模型类级别的配置，改用依赖注入获取当前用户角色，再决定是否调用
.model_dump(exclude={"phone"}) - 可封装一个方法：
def safe_dump(obj, user_role): return obj.model_dump(exclude={"phone"} if user_role != "admin" else {}) - 避免在
@computed_field里读数据库或做复杂判断——它会在每次.model_dump()时执行，可能引发 N+1 或权限绕过
容易被忽略的坑：关系字段与嵌套模型的脱敏失效
当响应模型包含嵌套的 Pydantic 模型（如 address: AddressOut），父模型的 exclude 不会穿透到子模型。子模型仍会完整输出其所有字段。
- 必须在每个层级分别控制：要么让
AddressOut自身也定义model_config = {"exclude": {"raw_coordinates"}}，要么在父模型 dump 时显式写exclude={"address": {"raw_coordinates"}} - 使用
exclude_unset=True或exclude_defaults=True时，要确认敏感字段确实没被设值或不是默认值，否则会被意外暴露 - 第三方库（如 SQLAlchemy 模型转 Pydantic）若用了
from_orm=True，字段是否脱敏还取决于 ORM 对象实际持有的属性，而非模型定义
