Python编写Flask接口如何提取Cookie_使用request.cookies读取数据-Python教程-PHP中文网

request.cookies 读不到 cookie 是因请求未携带 cookie 头或跨域/secure 设置不当；它只读，写 cookie 需通过响应对象的 set_cookie() 方法。

python编写flask接口如何提取cookie_使用request.cookies读取数据

request.cookies 读不到 Cookie 是因为没带 Cookie 头

浏览器发请求时，Cookie 请求头必须存在，request.cookies 才有内容。如果用 curl、Postman 或代码模拟请求时没手动加 Cookie 头，request.cookies 就是空的 dict，不是 Flask 没实现。

常见错误现象：print(request.cookies) 输出 {}，但浏览器开发者工具 Network 面板里能看到请求确实带了 Cookie —— 这通常是因为你测试时用的是不同域名或端口（比如前端 localhost:3000 调后端 localhost:5000），触发了浏览器的同源策略，默认不发送 Cookie。

确保前后端同源（协议 + 域名 + 端口完全一致），或后端明确设置 supports_credentials=True 且前端 fetch 加 credentials: 'include'
用 curl -b "session_id=abc123" http://127.0.0.1:5000/api 测试最直接，绕过浏览器限制
检查响应头是否含 Set-Cookie：如果之前没设过 Cookie，request.cookies 当然为空

request.cookies 是 ImmutableMultiDict，不能直接赋值修改

request.cookies 是只读对象，类型是 werkzeug.datastructures.ImmutableMultiDict，试图执行 request.cookies['key'] = 'val' 会报 TypeError: 'ImmutableMultiDict' object does not support item assignment。

它只是对 HTTP 请求头中 Cookie 字段的解析结果，不是存储容器。想“写” Cookie，必须通过响应对象：

用 make_response() 包裹返回值，再调用 set_cookie() 方法
或者直接在视图函数里 return 一个 Response 对象并调用 set_cookie()
set_cookie() 的 domain 和 path 参数要和发送时一致，否则浏览器可能忽略该 Cookie

示例：

Claw Code Suite (Python-Only Edition)

仅使用 Python 将 Claw Code 虚拟化框架与 OpenClaw 集成，提供 184 种工具和 200 多条命令，用于安全分析和代码质量...

下载

from flask import Flask, request, make_response<br>app = Flask(__name__)<br><br>@app.route('/api')<br>def api():<br>    # 读取<br>    token = request.cookies.get('auth_token')<br>    # 写入（需响应对象）<br>    resp = make_response({'status': 'ok'})<br>    resp.set_cookie('auth_token', 'new_val', max_age=3600)<br>    return resp

中文或特殊字符 Cookie 值需要 urldecode，但 Flask 自动处理了

浏览器发送 Cookie 时会对值做 URL 编码（如空格变 +，中文变 %E4%B8%AD），但 Flask 的 request.cookies 已自动解码，拿到的就是原始字符串，不用手动 urllib.parse.unquote。

容易踩的坑是：自己用 requests 模拟请求时，误把已编码的字符串再塞进 cookies= 参数，导致服务端收到双重编码值。

正确做法：requests.get(url, cookies={'user_name': '张三'})，让 requests 自己编码
错误做法：cookies={'user_name': '%E5%BC%A0%E4%B8%89'}，跳过 requests 编码逻辑
如果从日志或调试中看到乱码，先确认是不是前端 JS 用 document.cookie 手动拼接时忘了 encodeURIComponent

Secure 和 HttpOnly Cookie 在开发环境可能不生效

如果设置了 secure=True，Flask 只会在 HTTPS 协议下发送 Set-Cookie 头；设了 httponly=True 则 JS 无法读取（document.cookie 不可见），但 request.cookies 仍能正常读到。

本地开发用 http://127.0.0.1:5000 时，secure=True 会让 Cookie 直接被浏览器丢弃，看起来就像“没设置成功”。这不是 bug，是浏览器强制行为。

开发阶段建议 secure=False，上线 Nginx 反代后由反向代理统一加 Secure 标志
httponly=True 对防 XSS 有效，但要注意：如果接口本身是给前端 JS 调用的，且 JS 需要主动读某个 Cookie（比如用于签名），就不能设 httponly
Chrome 开发者工具 Application → Cookies 里能看到每个字段的 Secure/HttpOnly 状态，比看响应头更直观

Flask 的 request.cookies 行为很稳定，问题大多出在请求发起端或部署配置上，而不是读取逻辑本身。真正容易被忽略的是跨域场景下的 Cookie 发送条件，以及 Secure 标志在非 HTTPS 环境下的静默失效。