Phalcon模型需通过重写toArray()方法并配合$hidden或$visible属性来控制字段导出。1. 定义$hidden数组并在toArray()中unset对应字段；2. 使用$visible白名单显式指定返回字段；3. 支持按context动态隐藏；4. 实现JsonSerializable接口使JSON输出自动生效。
Phalcon 模型的 toArray() 方法默认会把所有公共属性（包括数据库字段和手动设置的属性）转成数组。但实际开发中，你往往需要隐藏敏感字段（比如 password、salt）、临时计算字段或关联对象，避免意外暴露。
关键不是靠 toArray() 自动过滤，而是通过模型类的显式配置来控制导出内容。
1. 使用 public $hidden 属性（Phalcon 5.x+ 支持）
从 Phalcon 5.0 开始，Phalcon\Mvc\Model 原生支持类似 Laravel 的 $hidden 机制（需配合自定义 toArray() 逻辑或重写方法）。不过注意：原生 toArray() 并不自动识别 $hidden —— 这是常见误区。你需要主动干预。
✅ 正确做法：在模型中定义 $hidden 数组，并覆盖 toArray() 方法：
// app/models/User.php
class User extends \Phalcon\Mvc\Model
{
public $hidden = ['password', 'remember_token', 'salt'];
public function toArray($columns = null)
{
$data = parent::toArray($columns);
foreach ($this->hidden as $field) {
unset($data[$field]);
}
return $data;
}
}这样调用 $user->toArray() 就会自动剔除指定字段。
2. 使用 public $visible 显式声明白名单（更安全）
如果你只希望导出特定字段，推荐用 $visible + 重写 toArray()，避免漏删：
public $visible = ['id', 'name', 'email', 'created_at'];
public function toArray($columns = null)
{
$all = parent::toArray($columns);
$result = [];
foreach ($this->visible as $key) {
if (isset($all[$key])) {
$result[$key] = $all[$key];
}
}
return $result;
}适合 API 返回强约束场景，比如用户资料接口只允许返回 id/name/email。
3. 动态控制：按上下文隐藏不同字段
有时需要根据调用位置做差异化处理（如管理后台 vs 用户端），可加参数：
public function toArrayForApi($context = 'user')
{
$base = parent::toArray();
$hidden = match($context) {
'user' => ['password', 'salt', 'updated_at'],
'admin' => ['remember_token'],
default => ['password', 'remember_token', 'salt'],
};
foreach ($hidden as $k) {
unset($base[$k]);
}
return $base;
}然后调用：$user->toArrayForApi('user')
4. 配合序列化（JSON 输出）自动生效
如果使用 json_encode($user)，Phalcon 默认会调用 __toString() 或触发 JsonSerializable。要让它也走你的规则，可实现接口：
class User extends \Phalcon\Mvc\Model implements \JsonSerializable
{
public function jsonSerialize()
{
return $this->toArray(); // 复用上面定义的安全 toArray
}
}之后 echo json_encode($user); 就会自动过滤掉隐藏字段。
不复杂但容易忽略
