Flask-WTF表单需继承FlaskForm、模板中显式渲染{{ form.csrf_token }}、确保请求上下文存在、AJAX提交时手动传递token，三者缺一不可，否则触发400错误。
Flask-WTF 表单类怎么写才不会被 CSRF 拦截
不加 CSRFTokenField 或没调用 generate_csrf()，表单一提交就 400 错误，提示 The CSRF token is missing. 或 The CSRF token is invalid.。这不是 Flask-WTF 的 bug，是它默认强制开启 CSRF 防护——关不掉，只能配对。
关键点：CSRF token 必须在服务端生成、嵌入模板、随 POST 提交回传，三者缺一不可。
- 定义表单类时，继承
FlaskForm（不是Form），自动带csrf_token字段 - 渲染模板时，必须显式输出
{{ form.csrf_token }}（不能只靠{{ form.hidden_tag() }}——它虽包含 csrf_token，但若表单字段名被手动改过或用了field.render_kw，可能漏掉） - 确保请求上下文存在：视图函数里调用
form.validate_on_submit()前，request必须已加载（比如没在非 request 上下文里提前实例化表单） - 若用 AJAX 提交，需从 DOM 读取
input[name=csrf_token]的 value，手动塞进请求体；后端不能依赖request.form自动解析（AJAX 默认是 JSON 或无 content-type）
render_template 里怎么安全渲染 Flask-WTF 表单字段
直接 {{ form.username }} 渲染出来的 input 缺少 name、id 或 class，前端 JS 拿不到，后端也收不到值——因为字段没绑定到表单实例，或没调用 __call__() 触发渲染逻辑。
常见错误：模板里写 {{ form.username.label }} {{ form.username() }} 却忘了括号，结果只输出字符串 username，不是 input 标签。
立即学习“Python免费学习笔记（深入）”；
- 字段调用必须带括号：
{{ form.username() }}，否则只是字段对象的字符串表示 - 若要加 class 或 placeholder，用
render_kw：定义表单时写username = StringField('用户名', render_kw={"class": "form-control", "placeholder": "请输入"}) - 不要在模板里用
value="{{ request.form.username or '' }}"手动赋值——Flask-WTF 表单实例会自动回填（form = LoginForm(request.form)或form = LoginForm()+validate_on_submit()后都支持） - 多选字段如
SelectMultipleField，选项必须是 tuple 列表：choices=[('py', 'Python'), ('js', 'JavaScript')]，传字符串列表会报ValueError: too many values to unpack
POST 提交后 validate_on_submit() 总是 False 怎么排查
最常踩的坑是：表单 HTML 的 method="post" 写了，但 action 指向错路由，或没配 CSRF token，或字段名和服务端定义不一致——导致 request.form 里压根没有对应 key。
本质是 validate_on_submit() 等价于 is_post() and form.validate()，而 form.validate() 依赖字段能否从 request.form 中提取并校验成功。
- 先检查
request.method == 'POST'是否成立（比如前端用了 GET 请求模拟提交） - 打印
request.form.keys()，确认字段名和表单类属性名完全一致（注意：HTML 的name="user_name"和 Python 的user_name = StringField(...)必须相同） - 若字段有
DataRequired()但用户没填，validate()就失败；空字符串对StringField是合法值，除非加了DataRequired() - 上传文件字段（
FileField）必须设enctype="multipart/form-data"，否则request.files为空，校验直接跳过或报错
Flask-WTF 和原生 Flask 表单混用会出什么问题
混用本身不报错，但 CSRF 保护会断层：Flask-WTF 表单自带 token 校验，原生 request.form 解析完全绕过它——等于开了个后门。
更隐蔽的问题是：Flask-WTF 表单类里定义的验证器（如 Email()、自定义 validata_* 方法）只在 form.validate() 时触发，手写 if request.form.get('email') 校验，既重复又容易漏规则。
- 不要在一个视图里一半用
LoginForm()，一半用request.form['xxx']直接取值——token 可能校验了，但业务逻辑没走验证器 - 若必须动态字段（比如根据用户角色渲染不同输入），用
FormField或动态构造表单类，别退化到手动解析request.form - CSRF secret_key 必须全局唯一且稳定：设在
app.config['SECRET_KEY']，不能每次启动随机生成，否则旧 token 全失效
CSRF token 的生命周期和 session 绑定，但很多人忽略：如果用了 Redis Session 或分布式部署，没配好 session backend，token 会在不同实例间校验失败——这问题不会报错，只会静默让 validate_on_submit() 返回 False。
