ThinkPHP6中$hidden在toArray()失效主因是字段控制仅作用于模型可序列化字段范围，需确保$hidden为protected属性、字段名严格匹配、调用对象为模型实例、避免访问器干扰及field()与$hidden混用。
ThinkPHP6 中 $hidden 在 toArray() 时失效，通常不是配置没写，而是几个关键环节出了偏差。核心原因在于：字段控制只在模型“可序列化字段”范围内生效，而访问器、查询方式、属性声明或调用顺序一旦错位，就会绕过 $hidden 的过滤逻辑。
检查 $hidden 声明是否规范
确保在模型类中正确定义为 protected 属性，且字段名与数据库列名完全一致（区分大小写）：
- ✅ 正确：
protected $hidden = ['password', 'salt']; - ❌ 错误：
public $hidden或private $hidden—— 不生效 - ❌ 错误：
'Password'（大小写不符）、'user_password'（带前缀或别名） - ❌ 错误：字段名含关联路径如
'profile.mobile'——$hidden只作用于当前模型原始字段
确认 toArray() 调用对象是模型实例，不是数组或 Collection
$hidden 是模型类的序列化控制机制，只对 模型对象或模型集合（ModelCollection） 生效：
- ✅ 正确：
User::find(1)->toArray()或User::select()->toArray() - ❌ 错误：
$data = User::select()->all(); $data->toArray();——$data是数组，无toArray()方法 - ❌ 错误：用
Db::name('user')->select()返回的是原生数组，不是模型实例，$hidden完全不参与
排查访问器（getAttr）干扰输出
如果模型中定义了类似 getFullnameAttr() 这样的访问器，即使该字段名不在 $visible 中、也不在 $hidden 里，toArray() 仍会自动包含 fullname 键——这是 ThinkPHP 的设计行为，访问器返回值默认“开放”。
立即学习“PHP免费学习笔记（深入）”；
- 若需统一管控，改用
$append = ['fullname']显式追加，并确保该字段未被$hidden列出（$hidden对$append字段也起作用） - 避免在访问器中直接返回敏感数据；如必须，可在访问器内部加权限判断，而非依赖
$hidden
验证是否混用了 field() / withoutField() 导致冲突
链式查询中若同时使用 field() 和 $hidden，可能因执行时机不同引发预期外结果：
-
User::field(['id', 'name'])->hidden(['name'])->toArray()→ 最终可能不含name，也可能保留（取决于版本和调用顺序） - 建议策略：静态隐藏用
$hidden，动态场景优先用withoutField()或field()，二者不要交叉使用 - 特别注意：
field('id,name')（字符串逗号分隔）在 TP6.1+ 已废弃，必须传数组，否则可能查不到字段，进而影响后续toArray()内容
