flask路由必须显式声明methods参数为全大写字符串列表，否则默认仅允许get；写成字符串或漏方括号会导致405错误；add_url_rule中methods须为关键字参数；动态路由、蓝图及内容类型校验均需同步配置。
Flask路由里methods参数写错顺序或类型会直接405
Flask的@app.route装饰器必须显式声明methods，否则默认只允许GET。很多人以为不写就是“不限制”，其实一发POST就返回405 Method Not Allowed——不是后端没收到，是路由层直接拦了。
常见错误：把methods写成字符串"GET, POST"，或者漏掉方括号；正确写法必须是列表，且元素是全大写字符串。
-
methods=["GET"]—— 仅接受GET，连HEAD都不通（除非手动加） -
methods=["POST"]—— 仅接受POST，表单、fetch、curl -X POST都行 -
methods=["GET", "POST"]—— 允许两种，但不会自动处理OPTIONS预检（CORS场景要额外注意）
用app.add_url_rule注册路由时methods位置不能错
和装饰器写法不同，app.add_url_rule的methods是关键字参数，必须显式写出，且不能放在view_func之后。顺序错、漏写、传None都会导致运行时报错或行为异常。
比如下面这段代码会报TypeError：
app.add_url_rule('/api/data', view_func=handle_data, ["GET"]) # ❌ 错误：列表被当成了位置参数
正确写法：
app.add_url_rule('/api/data', view_func=handle_data, methods=["GET"]) # ✅
- 如果函数需要带参数（如
/user/<uid></uid>），methods仍必须是关键字参数 -
add_url_rule不支持像装饰器那样用@app.route(..., methods=[...])的语法糖，别混用 - 动态路由中
methods限制依然生效，和路径变量无关
限制POST但没校验Content-Type等于白限
只靠methods=["POST"]只能挡住非POST请求，但无法阻止恶意用户发一个Content-Type: text/plain的POST过来——你的request.form或request.get_json()可能直接抛BadRequest，甚至触发未处理异常。
安全 Python 代码沙箱：在隔离的沙箱中执行任意 Python 代码，预装 requests、NumPy、pandas 库。返回 stdout、stderr。
真实接口常需配合内容类型检查：
- 表单提交：检查
request.headers.get("Content-Type", "").startswith("application/x-www-form-urlencoded") - JSON接口：用
request.is_json或手动比对Content-Type头 - 上传文件：必须允许
multipart/form-data，且request.files才可用
不校验就直接取request.json，遇到非JSON的POST会返回400 Bad Request，但错误信息可能暴露后端细节。
蓝图为多模块项目设methods时容易漏掉全局配置
用Blueprint拆分路由时，每个route仍要单独写methods，蓝图本身不提供“统一限制”能力。有人误以为在Blueprint(__name__, url_prefix="/api")里能设默认方法，其实不行。
更隐蔽的问题：如果某个视图函数被多个蓝图注册（比如测试用的临时路由），而只有一个写了methods，另一个没写，就会出现“同一路径、不同方法限制”的冲突，Flask通常以最后注册的为准，但行为不稳定。
- 所有
Blueprint内的@bp.route都必须显式声明methods - 避免路径重复注册，尤其是开发环境热重载时，旧路由可能还驻留在内存里
- 上线前用
app.url_map打印所有端点，确认每个POST路径确实只对应一个POST规则
最麻烦的是调试阶段——你以为限制住了，结果发现某条路径因为蓝图加载顺序问题，实际生效的是没加methods的那个版本。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
