Как отдать объект без некоторых полей?
Строить разные модели (регистрация, логон, инфо о юзере) и маппить их на сущность из базы.
Если разово, можно конечно [JsonIgnore] навесить, просто не попадет в сериализацю.
Можно сделать базовый класс сущности без пароля. И от него унаследовать все+пароль.
Дальше - дело техники.