Comment protéger le champ mot de passe dans la Mangouste/MongoDB donc il ne sera pas de retour dans une requête lorsque je remplir collections?

.populate('user' , '-password')

http://mongoosejs.com/docs/populate.html

JohnnyHKs réponse à l'aide des options de Schéma est probablement la voie à suivre ici.

Également noter que query.exclude() n'existe que dans le 2.x branche.

Edit:

Après avoir essayé les deux approches, j'ai trouvé que le excluent toujours approche ne fonctionnait pas pour moi pour une raison quelconque à l'aide de passeport, de stratégie locale, ne sais vraiment pas pourquoi.

Donc, c'est ce que j'ai fini par utiliser:

Blogs.findOne({_id: id})
    .populate("user", "-password -someOtherField -AnotherField")
    .populate("comments.items.user")
    .exec(function(error, result) {
        if(error) handleError(error);
        callback(error, result);
    });

Il n'y a rien de mal avec l'exclure toujours dans l'approche, il n'a tout simplement pas travailler avec passeport pour quelque raison que mes tests m'a dit qu'en fait, le mot de passe a été exclus /inclus quand je voulais. Le seul problème avec la est toujours la démarche, c'est que j'ai fondamentalement besoin pour aller de travers à chaque appel, je n'ai à la base de données et d'exclure le mot de passe qui est beaucoup de travail.

---

Après une paire de grandes réponses, j'ai découvert il y a deux manières de le faire, le "toujours inclure et exclure parfois" et "toujours exclure et inclure parfois"?

Un exemple à la fois:

L'est toujours, mais excluent parfois exemple:

Users.find().select("-password")

ou

Users.find().exclude("password")

La exlucde toujours, mais comprennent parfois exemple:

Users.find().select("+password")

mais vous devez définir dans le schéma:

password: { type: String, select: false }

Vous pouvez le faire en utilisant le schéma, par exemple:

const UserSchema = new Schema({/* */})

UserSchema.set('toJSON', {
    transform: function(doc, ret, opt) {
        delete ret['password']
        return ret
    }
})

const User = mongoose.model('User', UserSchema)
User.findOne() //This should return an object excluding the password field

J'utilise pour cacher champ de mot de passe dans mon REPOS réponse JSON

UserSchema.methods.toJSON = function() {
 var obj = this.toObject(); //or var obj = this;
 delete obj.password;
 return obj;
}

module.exports = mongoose.model('User', UserSchema);

Vous pouvez passer une DocumentToObjectOptions objet de schéma.la méthode toJSON() ou schéma.toObject().

Voir Tapuscrit définition de @types/mangouste

 /**
 * The return value of this method is used in calls to JSON.stringify(doc).
 * This method accepts the same options as Document#toObject. To apply the
 * options to every document of your schema by default, set your schemas
 * toJSON option to the same argument.
 */
toJSON(options?: DocumentToObjectOptions): any;

/**
 * Converts this document into a plain javascript object, ready for storage in MongoDB.
 * Buffers are converted to instances of mongodb.Binary for proper storage.
 */
toObject(options?: DocumentToObjectOptions): any;

DocumentToObjectOptions a une option transformer qui exécute une fonction personnalisée après la conversion du document à l'objet javascript. Ici vous pouvez masquer ou modifier les propriétés pour combler vos besoins.

Donc, disons que vous êtes à l'aide de schémas.toObject() et que vous souhaitez masquer le mot de passe de chemin d'accès de l'Utilisateur de votre schéma. Vous devez configurer un général de transformation de la fonction qui sera exécutée après chaque toObject() de l'appel.

UserSchema.set('toObject', {
  transform: (doc, ret, opt) => {
   delete ret.password;
   return ret;
  }
});

Tout en utilisant password: { type: String, select: false } vous devriez garder à l'esprit qu'il exclut par mot de passe lorsque nous en avons besoin pour l'authentification. Donc, être préparé pour la gérer comme vous le souhaitez.

J'ai trouvé une autre manière de faire, par l'ajout de certains paramètres du schéma de configuration.

const userSchema = new Schema({
    name: {type: String, required: false, minlength: 5},
    email: {type: String, required: true, minlength: 5},
    phone: String,
    password: String,
    password_reset: String,
}, { toJSON: { 
              virtuals: true,
              transform: function (doc, ret) {
                delete ret._id;
                delete ret.password;
                delete ret.password_reset;
                return ret;
              }

            }, timestamps: true });

Par l'ajout de fonction de transformation de la méthode toJSON objet avec le nom de zone à exclure. comme Dans docs a déclaré:

Nous devons effectuer une transformation de l'objet en fonction
sur certains critères, par exemple à supprimer certaines informations sensibles ou de restitution d'un
objet personnalisé. Dans ce cas, nous avons mis l'option transform fonction.