flask多实例部署需用redis托管session而非依赖secret_key签名cookie；secret_key必须固定且各实例一致；session_redis须传redis.redis实例而非url；session_permanent=false才能自动续期ttl；序列化应强制使用json避免pickle风险。
Flask 默认的 session 是客户端签名 Cookie，多实例部署时根本无法共享登录态——哪怕 SECRET_KEY 一致，也会因 itsdangerous 版本差异、序列化失败或 TTL 不刷新而掉登录。真共享必须把 session 数据移出浏览器，交由 Redis 统一托管。
为什么 app.secret_key 设了还不行？
Flask-Session 仍依赖 Flask 原生的 SECRET_KEY 对 session ID 签名，不是对 session 数据加密。漏设、设成 os.urandom(24) 动态值、或不同实例用了不同密钥，都会导致 BadSignature 或 session.get('user_id') 返回 None。
-
SECRET_KEY必须是固定字符串，推荐从环境变量读取：os.environ.get("FLASK_SECRET_KEY") - 所有实例必须共用同一份密钥，且不能重启就变
- 即使用了 Redis，
SECRET_KEY错误也会在session访问前就抛RuntimeError: session is unavailable because no secret key was set
SESSION_REDIS 传什么？别传字符串地址
Flask-Session 要的是已连接的 redis.Redis 实例，不是 URL 字符串。直接填 "redis://localhost:6379" 会静默失败，session 写不进 Redis。
Python 3.14.2是Python编程语言在2025年12月5日发布的稳定版本，属于3.14系列的第二个维护更新。该版本包含了18项修复，重点解决了多进程、数据类及正则表达式等模块的回归问题，并修复了CVE-2025-12084等安全漏洞。此版本标志着自由线程模式（移除GIL）正式获得官方支持，是Python发展的重要里程碑。
- 必须用连接池复用连接：
pool = redis.ConnectionPool(host="127.0.0.1", port=6379, max_connections=20) -
SESSION_REDIS应设为：redis.Redis(connection_pool=pool) - 如果 Redis 有密码，记得加
password="xxx"参数，否则连接超时却报错模糊
Redis key 过期不续命？SESSION_PERMANENT 控制逻辑
Flask-Session 默认只在 session 首次写入时调用 EXPIRE，后续修改不会刷新 TTL。用户一直活跃，session 却悄悄过期。
- 设
SESSION_PERMANENT = False（默认值），每次请求都会重置过期时间 - 设
SESSION_PERMANENT = True时，过期时间由PERMANENT_SESSION_LIFETIME控制，且不会自动续期 - 生产环境建议统一设为
False，并显式配置SESSION_COOKIE_HTTPONLY = True和SESSION_COOKIE_SECURE = True（HTTPS 下）
序列化用 json，别碰 pickle
Flask-Session 默认用 pickle 序列化，存 datetime、Decimal 或自定义类会失败，还存在反序列化漏洞风险。
- 强制使用 JSON：
app.config['SESSION_SERIALIZER'] = json - 存非 JSON 原生类型前手动转：
session['login_time'] = datetime.now().isoformat() - 调试时直连 Redis 查 key：
redis-cli keys "flask_session:*"，看值是否为合法 JSON、TTL 是否正常
最易被忽略的是：Session(app) 必须在所有路由注册之后、app.run() 之前调用；否则部分视图里 session 对象仍是默认的 Cookie 实现，压根没走 Redis。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
