flask-wtf的csrf保护失效主因是上下文断裂或传输路径错误；需确保表单生成、渲染、回传三要素完整，且token与session强绑定、每次加载刷新、严格限制传输路径。
Flask默认不防CSRF，不手动加防护等于裸奔；用Flask-WTF不是“开了就完事”，必须同时满足生成、渲染、回传三要素，缺一就会报 The CSRF token is missing 或静默失败。
Flask-WTF的CSRF保护为什么没生效？
常见现象是表单提交后返回400或validate_on_submit()始终为False，根本原因往往不是配置错，而是上下文断裂：
- 路由
methods只写了['POST']，没包含GET，导致首次加载表单时form = MyForm()无request上下文，csrf_token字段压根没生成 - 模板中
action写成/login/（带尾斜杠），而路由注册的是@app.route('/login')，触发308重定向后POST body和Cookie丢失 -
form = MyForm()被写在视图函数外部（比如模块顶层），每次请求都复用同一个无上下文实例 - 浏览器Network面板里看到请求
Content-Type是application/json，但Flask-WTF只从request.form取csrf_token，JSON体里的字段它根本不看
AJAX提交时怎么传CSRF token才不400？
浏览器不会自动把隐藏字段塞进fetch或axios的JSON请求体里，后端也收不到request.form——这是最常卡住的地方：
- 前端必须手动取值：
document.querySelector('input[name="csrf_token"]').value，再把它加进payload：{"username":"a","csrf_token":"abc123"} - 后端不能只调
form.validate_on_submit()，得先用request.get_json()读数据，再转成MultiDict构造表单：form = LoginForm(MultiDict(request.get_json())) - 确保
SECRET_KEY已设置，且session backend（如Redis或filesystem）可用；否则generate_csrf()会静默失败，form.csrf_token.data为空字符串
CSRF token泄露的隐蔽入口点
令牌再随机，如果泄露渠道没堵住，防护就形同虚设。最容易被忽略的是生命周期绑定问题：
-
Set-Cookie响应头必须带Secure=True; HttpOnly=False; SameSite=Lax（开发环境Secure可关，上线必须开） - 绝不能把
csrf_token拼进URL参数（如?token=xxx），会被代理、日志、Referer全量记录 - 避免在JS里用
document.cookie读取后手动拼请求——XSS一旦存在，这个token立刻被偷走 - API返回JSON时别把
csrf_token当字段塞进去；前端若缓存了响应又没清理，跨域脚本可直接读取
真正难防的不是“怎么生成token”，而是token是否与session强绑定、是否随每次页面加载刷新、是否严格限制传输路径——这些细节出问题，前面所有配置都白搭。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
