根本原因是flaskform、form.hidden_tag()、secret_key三者中任一缺失或配置错位；validate_on_submit()静默返回false是csrf校验失败的正常行为，因wtforms不将csrf_token错误写入form.errors以防探测。

Flask 表单提交被伪造，根本原因不是“没加防护”，而是 FlaskForm、form.hidden_tag()、SECRET_KEY 三者中任一缺失或配置错位——只要漏掉一个，CSRF 就形同虚设。

为什么 validate_on_submit() 总返回 False 却不报错

这不是代码写错了，是 CSRF 校验静默失败的正常行为。WTForms 故意不把 csrf_token 错误塞进 form.errors，防止攻击者探测防护状态。

• 调试时加一句 print(form.errors, form.csrf_token.errors)，如果输出空字典但验证失败，基本就是 CSRF 拦截了
• 常见诱因：模板里用了 {{ form.csrf_token }} 而不是 {{ form.hidden_tag() }} —— 前者只渲染 token 字段，缺时间戳和签名字段，后端无法完成完整校验
• 表单类继承自 wtforms.Form 而非 flask_wtf.FlaskForm，会导致 CSRF 自动禁用（无提示）

hidden_tag() 和 csrf_token() 渲染结果差在哪

form.hidden_tag() 渲染的是带签名、时间戳、过期逻辑的完整防护字段组；form.csrf_token 只输出 raw token 值，不能单独用于防护。

Python 3.14.2

Python 3.14.2是Python编程语言在2025年12月5日发布的稳定版本，属于3.14系列的第二个维护更新。该版本包含了18项修复，重点解决了多进程、数据类及正则表达式等模块的回归问题，并修复了CVE-2025-12084等安全漏洞。此版本标志着自由线程模式（移除GIL）正式获得官方支持，是Python发展的重要里程碑。

下载

• {{ form.hidden_tag() }} 输出类似：

  <input id="csrf_token" name="csrf_token" type="hidden" value="ImE4Zj...

• {{ form.csrf_token }} 输出只是：

  Python免费学习笔记（深入）：立即使用
  			
  在学习笔记中，你将探索 Python 的核心概念和高级技巧！