flask默认session基于客户端cookie，签名但未加密，关闭浏览器即失效；要持久化需用flask-session扩展配合redis等服务端存储，并配置session_type、session_redis等参数。
Flask中Session默认不持久，必须显式配置
Flask的session默认基于客户端Cookie存储，内容经签名但未加密，且每次请求后自动过期（PERMANENT_SESSION_LIFETIME默认31天，但实际依赖浏览器关闭行为）。这不是“持久会话”，只是带签名的短期传输载体。真要跨重启、跨进程维持用户状态，得换底层——要么用服务器端Session后端，要么自己接管存储逻辑。
- 默认
session数据序列化进Cookie，大小限4KB，敏感字段（如密码、token）绝不能放进去 -
app.config['SECRET_KEY']只用于签名验证，不防篡改（若被猜出，攻击者可伪造session） - 调用
session.permanent = True只是延长Cookie过期时间，不改变存储位置，仍非服务端持久
用Flask-Session插件接管服务端Session存储
Flask-Session是官方推荐的扩展，它把session对象的读写委托给后端存储（Redis、Memcached、SQLAlchemy、filesystem等），彻底脱离Cookie容量与安全性限制。
- 安装：
pip install Flask-Session - 必须在
app = Flask(<strong>name</strong>)之后、任何路由注册前初始化：Session(app) - 关键配置项：
SESSION_TYPE：设为'redis'、'sqlalchemy'或'filesystem'SESSION_REDIS（Redis场景）：传redis.Redis()实例，别用字符串连接串SESSION_SQLALCHEMY（SQL场景）：传SQLAlchemy对象，表名默认flask_session，会自动建表 - 若用
filesystem，注意SESSION_FILE_DIR路径需进程有读写权限，且不适用于多进程部署（竞态风险高）
示例（Redis）：
from flask import Flask, session
from flask_session import Session
import redis
<p>app = Flask(<strong>name</strong>)
app.config['SECRET_KEY'] = 'your-secret-key'
app.config['SESSION_TYPE'] = 'redis'
app.config['SESSION_REDIS'] = redis.from_url('redis://127.0.0.1:6379')</p><p>Session(app)</p><div class="aritcle_card flexRow artxards">
<div class="artcardd flexRow">
<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill4769" title="Python Testing"><img
src="https://img.php.cn/upload/skill/000/000/081/179021887894914.jpg" alt="Python Testing" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
<div class="aritcle_card_info flexColumn">
<a rel="nofollow" href="/xiazai/skill4769" title="Python Testing" class="overflowclass">Python Testing</a>
<p class="overflowclass">Python 测试速查：运行 pytest、使用 mock/patch、参数化、fixtures、异步、覆盖率测试。</p>
</div>
<a rel="nofollow" href="/xiazai/skill4769" title="Python Testing" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
</a>
</div>
</div><p>@app.route('/login')
def login():
session['user_id'] = 123
return 'Logged in'</p>
Session ID怎么传递？别动cookie名，也别手动塞header
Flask-Session默认仍通过Cookie传递Session ID（sessionid），这是最兼容的方式。你不需要、也不应该改SESSION_COOKIE_NAME去适配前端框架，更不要尝试用URL参数或Authorization header传ID——那等于放弃标准机制，徒增维护成本。
- 前端调用时确保携带Cookie（
fetch加credentials: 'include'，Axios设withCredentials: true） - 若部署在子路径或跨域，需同步配置
SESSION_COOKIE_PATH和SESSION_COOKIE_DOMAIN - 不要禁用
SESSION_COOKIE_HTTPONLY（默认True）：防止JS读取Session ID，降低XSS窃取风险 -
SESSION_COOKIE_SECURE在HTTPS环境必须设为True，否则浏览器拒绝发送Cookie
Redis做Session后端时，过期策略和清理怎么做
Redis本身支持key过期，Flask-Session会为每个session key设置TTL（默认跟PERMANENT_SESSION_LIFETIME一致），但有两个现实问题常被忽略：
- Redis内存满时，若配置的是
noeviction策略，新session写入会失败，返回500；建议设为allkeys-lru或volatile-lru - 过期key不会实时删除，靠Redis惰性+定期删除混合机制，可能残留少量僵尸key；不用专门扫库，除非你发现
INFO keyspace里flask_session:*数量异常膨胀 - 若需主动踢人（如管理员强制下线），得自己存映射关系：比如用
user_id → session_id哈希表，删session时连带清这个映射
真正难的不是配置，而是想清楚“持久”到底指什么：是进程重启不丢？是机器宕机不丢？还是用户几天不操作还保持登录？每种目标对应不同方案——Redis集群保前者，主从+持久化保后者，而长期免密登录得靠Refresh Token机制，那已经超出Session范畴了。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
