validate_on_submit() 总是返回 False 的根本原因是请求方法不匹配或 CSRF 令牌缺失；Flask-WTF 要求 POST 请求且表单含 csrf_token 字段，否则跳过验证直接返回 False。
为什么 validate_on_submit() 总是返回 False？
根本原因通常是请求方法不匹配或 CSRF 令牌缺失。Flask-WTF 默认要求 POST 请求且表单含 csrf_token 字段，否则跳过验证直接返回 False。
- 确保路由同时支持
GET和POST：@app.route('/login', methods=['GET', 'POST']) - 模板中必须渲染
{{ form.hidden_tag() }}（它生成csrf_token隐藏字段） - 如果禁用 CSRF（仅调试），需在表单类中显式声明：
class LoginForm(FlaskForm): csrf_enabled = False - 检查浏览器开发者工具的 Network 标签页，确认提交的是
POST，且请求体里有csrf_token字段
如何自定义字段级错误提示而不覆盖全局消息？
WTForms 的 validators 支持传入 message 参数，优先级高于字段的 description 或全局翻译，但不会影响其他字段。
- 在字段定义时直接指定：
email = StringField('Email', validators=[DataRequired(message='邮箱不能为空'), Email(message='请输入有效的邮箱地址')]) - 避免在
__init__或视图里动态改form.email.errors—— 这会绕过 WTForms 的错误收集机制，导致form.errors不完整 - 若需根据上下文变提示（如用户名已存在），应在自定义验证函数里抛出
ValidationError，并传入具体字符串
form.data 和 request.form 有什么实际区别？
request.form 是原始字典，form.data 是经过类型转换、清洗和验证后的字典。前者可能含空字符串、字符串数字；后者按字段类型转成 int、datetime、None 等。
- 用
form.data写数据库或调用业务逻辑 —— 它可信；用request.form做日志或调试对比 —— 它反映用户真实输入 -
form.data不包含未定义在表单类中的字段，哪怕request.form里有（防字段注入） - 若字段用了
Optional()且为空，form.data对应值为None；而request.form.get('field')可能是空字符串
为什么本地跑通了，部署到 Nginx + Gunicorn 后表单总提示“CSRF token missing”？
本质是反向代理未透传 Cookie，或 Flask 的 SECRET_KEY 在多进程下不一致，导致 CSRF token 解密失败。
- 确认
SECRET_KEY是固定字符串（不是os.urandom(24)这种每次重启都变的） - Nginx 配置里加：
proxy_cookie_path / "/";和proxy_set_header X-Forwarded-For $remote_addr; - Flask 应用启用信任代理：
app.config['SESSION_COOKIE_SECURE'] = True（HTTPS 下）且app.config['SESSION_COOKIE_HTTPONLY'] = True - 检查响应头里的
Set-Cookie是否带Secure和SameSite=Lax，若不匹配客户端策略，token 就不会被携带回传
复杂点在于 CSRF 流程横跨前端渲染、HTTP 请求、服务端解密、session 存储四个环节，任一环的配置偏差都会静默失败 —— 而错误信息永远只显示“CSRF token missing”，看不出到底是没发、没存、没传，还是解不开。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
