Flask中CSRF Token失效主因是token未随表单提交或校验被绕过：须用FlaskForm继承、模板调用form.hidden_tag()、确保SECRET_KEY已设且不重启服务；AJAX需传X-CSRFToken头；API视图仅对无Cookie认证的才可安全豁免。

Flask中CSRF Token没生效，表单提交总报400错误

根本原因通常是 CSRFToken 没随表单一起提交，或后端校验逻辑被绕过。WTForms 默认启用 CSRF 保护，但前提是：表单类继承 FlaskForm（不是 Form），且模板里用了 {{ form.hidden_tag() }}。

• 检查是否误用了 from wtforms import Form —— 必须用 from flask_wtf import FlaskForm
• form.hidden_tag() 会渲染 csrf_token 隐藏字段和时间戳字段，缺一不可；手写 不够，缺少签名验证所需的时间戳
• 如果用了 AJAX 提交，不能只传 csrf_token() 的值，还要确保请求头带 X-CSRFToken，且后端配置了 WTF_CSRF_HEADERS = ['X-CSRFToken']

为什么 validate_on_submit() 总返回 False，但没看到具体错误

CSRF 失败时，form.errors 里不会出现 csrf_token 字段的提示，默认静默拒绝。这不是 bug，是安全设计：避免给攻击者反馈。

• 调试时可临时加 print(form.errors) 看输出，若只有空字典但验证失败，大概率是 CSRF 拦截
• 确保 SECRET_KEY 已设置——WTForms-CSRF 依赖它生成签名，未设置会导致所有 token 校验失败，且不报错
• 不要在测试环境禁用 CSRF（如设 WTF_CSRF_ENABLED = False）后忘记恢复，上线后就直接裸奔

API 路由要不要加 CSRF 保护？@csrf.exempt 怎么用才安全

纯 JSON API（无 session cookie 登录态）通常不需要 CSRF 保护，但前提是认证方式不依赖 Cookie。如果用 session 存用户 ID，那 POST /api/transfer 这类操作仍需防护。

macOS UI 自动化技能包 —— 用 Python 控制你的 Mac

让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限

下载

• 仅对明确不需要 CSRF 的视图加 @csrf.exempt，不要对整个 Blueprint 或全局关闭
• 免保护的视图必须用其他机制鉴权，比如 JWT 放在 Authorization header，且服务端校验签名和有效期
• 如果用 flask-login 做登录，又走 Cookie 认证，那所有修改状态的 POST/PUT/DELETE 都应保留 CSRF 校验

CSRF Token 过期太快，用户填完表单点提交就失效

默认 3600 秒（1 小时），但实际体验中常因页面长时间打开、多标签页切换、反代超时等导致提前失效。这不是 token 本身问题，而是签名里的时间戳校验太严。

• 可通过 WTF_CSRF_TIME_LIMIT = 7200 延长，但别设太大（超过 2 小时增加重放风险）
• 更稳妥的做法是在前端加定时器，快到期前用 /csrf-token 接口刷新 token，并替换表单里的隐藏字段值
• 注意：每次调用 csrf_token() 都生成新 token，旧 token 立即作废——所以不能在模板里多次调用，否则表单里多个隐藏字段会冲突

CSRF 机制依赖 SECRET_KEY 和时间戳双重签名，任何环节断链都会静默失败。最常被忽略的是：开发时用 app.run() 启动，但没意识到每次重启 Flask 服务都会重置 token 签名密钥，导致之前生成的所有 token 全部失效。

Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！