flask-login的login_user()必须配合实现is_authenticated、is_active、get_id()的用户对象，推荐继承usermixin；漏传remember=true则关闭浏览器即登出；session_protection='strong'易致频繁登出，登出必须调用logout_user()而非手动清session。
Flask-Login 的 login_user() 必须配合用户对象的特定方法
Flask-Login 不会自动记住用户，它依赖你传入的对象是否实现了 is_authenticated、is_active、get_id() 这三个属性/方法。最常见错误是直接传一个 dict 或普通 class 实例进去，结果登录后立刻跳回登录页——因为 current_user.is_authenticated 始终为 False。
推荐做法：让用户模型继承 UserMixin，它已预置好这些接口：
from flask_login import UserMixin <p>class User(UserMixin, db.Model): id = db.Column(db.Integer, primary_key=True) username = db.Column(db.String(80), unique=True) password_hash = db.Column(db.String(120)) </p>
如果不用 SQLAlchemy，至少确保自定义类有：
-
get_id()返回字符串类型的唯一 ID（不能是 int） -
is_authenticated是属性（不是方法），值为True -
is_active默认也设为True，否则login_required会拒绝访问
登录视图里漏掉 remember=True 就没法“保持”状态
“保持登录状态”的核心其实是浏览器 Cookie 的过期时间。Flask-Login 默认只设 session cookie（关闭浏览器即失效），要实现“记住我”必须显式传 remember=True：
@app.route('/login', methods=['POST'])
def login():
user = User.query.filter_by(username=request.form['username']).first()
if user and check_password_hash(user.password_hash, request.form['password']):
login_user(user, remember=True) # ← 关键！
return redirect(request.args.get('next') or url_for('dashboard'))
这个参数会让 Flask-Login 写一个长期有效的 cookie（默认 365 天），并启用内部的 remember_token 验证流程。没加这句，哪怕前端勾了“记住我”，关掉标签页再打开就登出了。
注意：remember=True 要求用户对象有 get_remember_token() 方法（UserMixin 已提供），且 app 需配置 SECRET_KEY（否则会报 RuntimeError: secret_key not set）。
login_manager.session_protection 设成 'strong' 会导致频繁登出
这是生产环境最容易踩的坑：默认开启的强会话保护会在用户 IP 或 User-Agent 变更时强制登出。开发时切个网络、用手机访问测试页、甚至 Chrome 开个隐身窗口，都可能触发。
调试阶段建议设为 'basic' 或直接关掉：
login_manager.session_protection = 'basic' # 或 None
真实上线后再根据安全需求权衡——'strong' 对防止 session 劫持有效，但代价是牺牲部分用户体验；'basic' 只校验 User-Agent 大类（比如 Chrome → Firefox 会登出，Chrome 正常升级不会）。
另外，如果用了反向代理（Nginx），记得配 login_manager.trusted_proxies，否则获取到的 IP 总是 127.0.0.1，导致 'strong' 模式下所有请求都被视为同一 IP，失去保护意义。
登出后 current_user 仍显示旧信息？检查是否忘了 logout_user()
调用 logout_user() 不仅清除 session，还会把 current_user 置为匿名对象（AnonymousUserMixin 实例）。如果登出后模板里 {{ current_user.username }} 还能取到值，大概率是：
- 根本没调
logout_user()，只是重定向或清了部分 session key - 用了
session.clear()之类手动操作，破坏了 Flask-Login 的内部状态 - 登出路由没加
@login_required，但逻辑里又误判了权限，跳转到了其他页面，造成“好像没登出”的错觉
标准登出写法就一行：
@app.route('/logout')
@login_required
def logout():
logout_user()
return redirect(url_for('login'))
别绕开它自己删 session，Flask-Login 的状态管理比手动能覆盖更多边界情况，比如 remember cookie 的清理、信号触发等。
真正麻烦的是跨域场景（比如前端 Vue 独立域名调后端 API）：Flask-Login 的 cookie 默认是同源限制的，此时“保持登录”本质不成立，得换 JWT 或统一认证中心。
