flask-wtf表单类必须继承flaskform而非form，以启用自动csrf保护、请求上下文绑定和form解析；模板中必须使用{{ form.hidden_tag() }}（置于form内字段前），视图中应使用validate_on_submit()而非validate()，自定义验证需严格命名为validate_字段名且抛出validationerror。
Flask-WTF 表单类必须继承 FlaskForm，不是 Form
很多初学者直接照抄旧教程，用 from wtforms import Form 再手动加验证器，结果 validate_on_submit() 总是返回 False，或者 CSRF 错误一直报 CSRF token missing。根本原因是 Flask-WTF 的核心封装在 FlaskForm 里——它自动注入 CSRF 字段、绑定请求上下文、集成 request.form 解析逻辑。
正确做法：
- 导入必须是
from flask_wtf import FlaskForm（不是wtforms.Form） - 表单类继承
FlaskForm，不是Form - 字段用
from wtforms import StringField, SubmitField等，验证器仍来自wtforms.validators
示例：
from flask_wtf import FlaskForm
from wtforms import StringField, SubmitField
from wtforms.validators import DataRequired, Email
<p>class LoginForm(FlaskForm):
email = StringField('Email', validators=[DataRequired(), Email()])
submit = SubmitField('Login')
</p>
render_template 传入表单实例，模板里用 {{ form.hidden_tag() }}
Flask-WTF 的 CSRF 保护默认开启，hidden_tag() 不只是输出一个隐藏字段——它生成并签名 token，同时处理表单重放和跨域提交防护。漏掉这行，提交时会直接 400 错误，响应体里出现 The CSRF token is missing.。
模板中必须写：
注意：form.hidden_tag() 要放在 <form></form> 内且**在任何字段之前**；如果用了自定义字段渲染（比如手动写 <input name="email">），CSRF 将失效——必须用 form.xxx() 或显式调用 hidden_tag()。
视图函数里用 form.validate_on_submit()，别手动调 form.validate()
validate_on_submit() 是 Flask-WTF 特有的方法，它内部做了三件事：检查是否为 POST 请求、验证 CSRF token、再执行字段级验证。而 form.validate() 只做第三步，跳过前两步，导致 GET 请求也触发验证、CSRF 检查被绕过。
典型错误写法：
if request.method == 'POST':
if form.validate(): # ❌ 缺少 CSRF 和请求方法判断
...
正确写法：
@app.route('/login', methods=['GET', 'POST'])
def login():
form = LoginForm()
if form.validate_on_submit(): # ✅ 一行搞定全部前置检查
user = User.query.filter_by(email=form.email.data).first()
return redirect(url_for('dashboard'))
return render_template('login.html', form=form)
额外提醒：validate_on_submit() 在 GET 请求下永远返回 False，所以不用额外写 if request.method == 'POST' 判断。
自定义验证逻辑要写在表单类里，用 validate_字段名 方法
WTForms 允许为特定字段添加自定义校验，但命名必须严格为 validate_<field_name></field_name>（下划线 + 字段变量名），且接收两个参数：self 和 field。写成 validate_email 对应字段 email = StringField(...)；写成 validate_email_field 就不会被调用。
常见场景：检查邮箱是否已注册。
def validate_email(self, field):
if User.query.filter_by(email=field.data).first():
raise ValidationError('Email already registered.')
注意点：
- 异常必须是
wtforms.validators.ValidationError，不是内置ValueError - 该方法在
validate_on_submit()中自动触发，无需手动调用 - 如果字段名含下划线（如
user_name），方法名也得是validate_user_name
容易忽略的是：自定义验证器在所有内置验证器（如 DataRequired）之后运行。如果字段为空，DataRequired 先报错，你的 validate_email 根本不会执行。
