我从不从 API 直接返回 Eloquent 模型：每个用户响应都走同一个 UserResource

作者在 Laravel + React SaaS Starter Kit 中规定所有返回用户的接口统一走 UserResource，只输出 id、name、email、role、email_verified_at、created_at、updated_at 七个字段，避免密码哈希和 remember_token 随 Eloquent 模型泄露。