ThinkPHP中password字段未被$hidden隐藏是因$hidden未用protected声明或调用了toArray(true)；extra_info不解析为数组需同时配置$type和TP6的$json属性。
ThinkPHP接口返回用户数据时，password字段明明在模型里设置了$hidden，却依然出现在JSON响应里，前端拿到后可能泄露敏感信息；同时extra_info字段存的是JSON字符串，但API返回的却是原始字符串而非解析后的数组——这两个问题常同时出现，且互不干扰。
确认hidden是否真正生效
打开模型类，检查是否用了protected修饰符：【必须是protected $hidden】，写成public或直接写$hidden = [...]会导致完全不生效。
调用toArray()前，确认没传true参数：$user->toArray(true)会强制导出全部字段，绕过$hidden和$visible所有规则。
不要手动拼数组：['data' => ['id' => $user->id, 'password' => $user->password]]这种写法会让hidden失效，必须用$model->toArray()或$model->toJson()原生方法。
立即学习“PHP免费学习笔记（深入）”；
JSON字段不自动解析？先声明type类型
在模型类中添加$type声明：protected $type = ['extra_info' => 'json'];，字段名必须与数据库列名完全一致，大小写敏感。
确保extra_info字段内容是合法JSON：双引号包裹键名、无尾逗号、不能是null或空字符串，否则解码失败返回null且不报错。
如果用的是TP6，还需额外声明$json属性：protected $json = ['extra_info'];，仅$type不够，TP6默认不启用JSON自动编解码。
动态控制字段输出（管理员/普通用户不同策略）
第一步：在控制器中根据用户角色判断权限等级。
Miller (mlr) 是一个命令行工具，用于查询、整形和重新格式化名称索引数据，如 CSV、TSV、JSON 和 JSON Lines。它将 awk、sed、cut、join 和 sort 的功能整合到一个专为结构化数据处理而构建的单一工具中。
第二步：调用withoutField过滤敏感字段：$list->withoutField(['password', 'salt'])，注意该方法返回的是Collection或数组，不再是模型实例，后续不能链式调用模型方法。
第三步：若需白名单式控制，改用visible()：$user->visible(['id', 'name', 'email', 'extra_info'])->toArray()，【visible优先级高于hidden，且字段名必须与数据库列名完全一致】。
追加字段但只在特定接口生效
方法一：运行时append追加，无需修改模型定义：$user->append(['status_text'])->toJson()，前提是模型中已定义getStatustextAttr访问器。
方法二：配合visible使用，避免字段冗余：$user->visible(['id', 'name'])->append(['full_name'])->toJson()，这样既限制基础字段，又动态注入计算字段。
注意：append的字段必须已在模型中注册获取器，否则追加无效，也不会报错。
密码字段“只写不读”的终极方案
TP6.1+版本直接在模型中声明writeOnly：protected $writeOnly = ['password'];，该字段可正常写入数据库，但不会出现在toArray()、toJson()及任何序列化结果中。
老版本TP6.0及以下无法使用writeOnly，必须在返回前手动unset：$data = $user->toArray(); unset($data['password']); return json($data);。
切记：writeOnly按模型属性名匹配，不是数据库字段名；若模型中用setPasswordAttr做了转换，writeOnly仍填'password'。
