我正在使用 Sequelize 为用户记录进行数据库查找，并且我希望模型的默认行为不返回该记录的 password 字段。 password 字段是一个哈希，但我仍然不想返回它。
我有几个可行的选择，但似乎没有一个特别好：
为User 模型创建一个自定义类方法findWithoutPassword，并在该方法中使用attributes 设置User.find，如Sequelize docs 中所示
做一个普通的User.find并在控制器中过滤结果（不是首选）
使用其他库去除不需要的属性
有没有更好的方法？最好的办法是在 Sequelize 模型定义中指定永远不返回 password 字段，但我还没有找到这样做的方法。
【问题讨论】：
标签： sequelize.js password-storage
另一种方法是向用户模型添加默认范围。
在模型的选项对象中添加这个
defaultScope: {
attributes: { exclude: ['password'] },
}
或者您可以创建一个单独的范围以仅在某些查询中使用它。
在模型的选项对象中添加这个
scopes: {
withoutPassword: {
attributes: { exclude: ['password'] },
}
}
然后你可以在查询中使用它
User.scope('withoutPassword').findAll();
【讨论】：
create。覆盖 toJSON 可保护字段在创建期间不被暴露。
我建议重写 toJSON 函数：
sequelize.define('user', attributes, {
instanceMethods: {
toJSON: function () {
var values = Object.assign({}, this.get());
delete values.password;
return values;
}
}
});
或在 sequelize v4 中
const User = sequelize.define('user', attributes, {});
User.prototype.toJSON = function () {
var values = Object.assign({}, this.get());
delete values.password;
return values;
}
toJSON 在数据返回给用户时被调用，因此最终用户不会看到密码字段，但它仍然可以在您的代码中使用。
Object.assign 克隆返回的对象 - 否则您将从实例中完全删除该属性。
【讨论】：
delete values.password 实际上会从用户实例中删除密码属性 - 而不仅仅是 JSON 输出。使用 var values = Object.assign({}, this.get()) 或适当的 polyfill 来避免改变实际用户的属性。
Unhandled rejection Error: TypeError: Cannot read property 'get' of undefined
.bind 将上下文设置为实例 - 但你不能用箭头函数这样做
toJSON 是其他模型！这将导致您在急切加载用户时泄露您的散列密码。看到这个：github.com/sequelize/sequelize/issues/3891
我喜欢结合使用 Pawan 的两个答案并声明以下内容：
defaultScope: {
attributes: { exclude: ['password'] },
},
scopes: {
withPassword: {
attributes: { },
}
}
这允许我在默认情况下排除密码，并在需要时使用withPassword 范围显式返回密码，例如在运行登录方法时。
userModel.scope('withPassword').findAll()
这确保在通过引用字段包含用户时不返回密码，例如
accountModel.findAll({
include: [{
model: userModel,
as: 'user'
}]
})
【讨论】：
也许你可以在find 时在属性中添加exclude，如下所示：
var User = sequelize.define('user', attributes);
User.findAll({
attributes: {
exclude: ['password']
}
});
阅读docs了解更多详情
【讨论】：
attributes的块添加到每个查询中并不是那么好。需要一种在模型级别定义排除属性以应用所有查询的方法！
我可以通过在返回 undefined 的字段中添加一个 getter 来完成这项工作
firstName: {
type: DataTypes.STRING,
get() {
return undefined;
}
}
当模型包含在另一个模型中时，accepted answer 不起作用。
我有一个虚拟字段，例如 fullName，它取决于我想要隐藏的字段，例如 firstName 和 lastName。而基于defaultScope 的solution 在这种情况下不起作用。
【讨论】：
下面的代码对我有用。我们希望在运行时访问实例属性，但在将数据发送到客户端之前将其删除。
const Sequelize = require('sequelize')
const sequelize = new Sequelize('postgres://user:pass@example.com:5432/dbname')
const PROTECTED_ATTRIBUTES = ['password', 'token']
const Model = Sequelize.Model
class User extends Model {
toJSON () {
// hide protected fields
let attributes = Object.assign({}, this.get())
for (let a of PROTECTED_ATTRIBUTES) {
delete attributes[a]
}
return attributes
}
}
User.init({
email: {
type: Sequelize.STRING,
unique: true,
allowNull: false,
validate: {
isEmail: true
}
},
password: {
type: Sequelize.STRING,
allowNull: false
},
token: {
type: Sequelize.STRING(16),
unique: true,
allowNull: false
},
},
{
sequelize,
modelName: 'user'
})
module.exports = User【讨论】：
scoping attributes 有一个插件，正如 here 所讨论的那样。
我使用了接受的答案中提到的覆盖，除了我用this.constructor.super_.prototype.toJSON.apply(this, arguments) 调用原始的toJSON 而不是get，如api docs 中所述
【讨论】：
您可以通过排除属性以简单的方式执行此操作。请参阅下面的代码（注释行）
Patient.findByPk(id, {
attributes: {
exclude: ['UserId', 'DiseaseId'] // Removing UserId and DiseaseId from Patient response data
},
include: [
{
model: models.Disease
},
{
model: models.User,
attributes: {
exclude: ['password'] // Removing password from User response data
}
}
]
})
.then(data => {
res.status(200).send(data);
})
.catch(err => {
res.status(500).send({
message: `Error retrieving Patient with id ${id} : ${err}`
});
});
【讨论】：