response()->json() 是 Laravel 返回 JSON 的正确方式，自动设置 Content-Type 和状态码；toJson() 仅返回字符串，需手动包装响应；模型应通过 $hidden、$visible 或资源类控制输出字段。
直接用 response()->json() 就行，但实际项目里容易踩坑——比如模型自动转数组时丢了属性、日期格式不对、或前端收不到 Content-Type: application/json。
为什么 response()->json() 有时不生效？
常见原因是中间件或响应事件中途修改了内容类型，或者你在控制器里用了 return $data（Laravel 自动序列化但不设 header），导致返回的是纯文本而非 JSON。
- 确保没在其他地方调用
header()或修改Response实例的headers - 避免在控制器中直接
echo json_encode(...)，这会绕过 Laravel 响应生命周期 - 检查是否启用了
App\Http\Middleware\TrustProxies等中间件干扰了 header 输出
json() 和 withJson() 的区别在哪？
Laravel 没有 withJson() 方法，那是 Slim 或 CodeIgniter 的写法。别混淆。Laravel 只有 response()->json() 和模型自带的 toJson() —— 后者只是字符串，不带 header。
-
response()->json(['status' => 'ok'])：正确方式，自动设置Content-Type和状态码 -
User::first()->toJson()：只返回 JSON 字符串，不会自动加 header，必须手动包装：response(User::first()->toJson(), 200)->header('Content-Type', 'application/json') - 用
->jsonSerialize()自定义序列化逻辑时，记得它只影响json_encode()行为，不影响response()->json()的 header
如何让 Eloquent 模型输出更干净的 JSON？
默认情况下，toJson() 或 response()->json($model) 会包含所有可见属性，包括你不想暴露的字段（如 password_hash）、冗余时间格式、或未加载的关系数据。
- 在模型里定义
$hidden = ['password', 'remember_token']或$visible = ['id', 'name', 'email'] - 用
->makeHidden(['api_token'])动态隐藏字段 - 重写
toArray()或jsonSerialize()控制结构，比如把created_at转成时间戳：public function jsonSerialize() { return array_merge($this->toArray(), [ 'created_at_timestamp' => $this->created_at->timestamp, ]); } - 对集合统一处理：用
Collection::map()或资源类（Resource）更稳妥，尤其涉及嵌套关系或权限过滤时
真正麻烦的不是怎么返回 JSON，而是什么时候该用资源类、什么时候该用 response()->json()、以及模型序列化和 API 版本控制怎么协同——这些不在基础方法层面，得靠约定和分层设计兜住。
