Streamlit 表单提交会触发整页重运行，导致未持久化在 st.session_state 中的变量（如表单内临时输入值）丢失或逻辑中断；正确做法是将表单逻辑与状态管理深度绑定，并避免在表单外部依赖未保存的本地变量。
streamlit 表单提交会触发整页重运行，导致未持久化在 st.session_state 中的变量（如表单内临时输入值）丢失或逻辑中断；正确做法是将表单逻辑与状态管理深度绑定，并避免在表单外部依赖未保存的本地变量。
在你的 MFA 激活流程中，问题根源并非逻辑错误，而是 Streamlit 的执行模型特性：每当 <st.form></st.form> 提交后，整个脚本（或当前作用域）会从头重新运行——这意味着 EnableMFA = st.text_input(...) 在每次重运行时都会返回一个新输入值（或空字符串），而你将其定义在 if submit: 块之外，却在块之内直接使用它进行 OTP 验证（见原代码第24行起）。更关键的是，len(EnableMFA) >= 0 这一判断永远为真（空字符串长度为 0），导致验证逻辑在每次重运行时无条件执行，但此时 EnableMFA 已非用户刚提交的值（因表单重置），且 submit 标志也未被持久化，造成“看似跳过”实则“误判执行时机”的假象。
✅ 正确解法不是删除表单，而是严格遵循 Streamlit 状态驱动范式：
所有关键状态必须显式存入
st.session_state
用户输入、验证结果、流程阶段等均不可依赖局部变量。表单提交逻辑应原子化封装，避免跨重运行依赖临时变量
以下是重构后的健壮实现（保留表单，修复状态流）：
def activate_mfa(login):
# 初始化状态（仅首次运行）
if 'mfa_step' not in st.session_state:
st.session_state.mfa_step = 'qr_display' # 'qr_display', 'waiting_otp', 'verified'
st.session_state.sec_key = otp.generate_secret()
st.session_state.data = f'otpauth://totp/{login}?secret={st.session_state.sec_key}&issuer=timetracker'
if st.session_state.mfa_step == 'qr_display':
st.write("MFA activation is required. Please scan the QR code with your Authenticator app.")
col1, col2, col3 = st.columns([.25, .5, .25])
with col2:
img = qr.create_qr_code(data=st.session_state.data)
st.image(img)
# 进入 OTP 输入阶段
if st.button("I've scanned the QR code → Enter OTP"):
st.session_state.mfa_step = 'waiting_otp'
st.rerun() # 确保立即刷新界面
elif st.session_state.mfa_step == 'waiting_otp':
st.write("Enter the 6-digit code from your Authenticator app:")
with st.form("mfa_verify_form"):
otp_code = st.text_input("OTP Code", max_chars=6, type="password", key="mfa_otp_input")
submitted = st.form_submit_button("Verify & Activate MFA")
if submitted:
if not otp_code or len(otp_code) != 6:
st.error("Please enter a valid 6-digit OTP.")
else:
st.session_state.mfa_otp_attempt = otp_code # 持久化输入
st.session_state.mfa_step = 'verifying'
st.rerun()
# 验证在独立阶段执行（避免表单内混杂业务逻辑）
if st.session_state.mfa_step == 'verifying':
with st.spinner("Validating OTP..."):
otp_valid = otp.validate_otp(st.session_state.mfa_otp_attempt, st.session_state.sec_key)
if otp_valid:
st.session_state.MFAStatus = 'Active'
try:
session = db.db_connect()
secure_key = db.ed(st.session_state.sec_key, 'encode')
stmt = update(db.Users).where(db.Users.Login == login).values(MFAStatus=secure_key)
session.execute(stmt)
session.commit()
st.success("✅ MFA activated successfully!")
st.session_state.mfa_step = 'verified'
# 清理临时状态（可选）
st.session_state.pop('mfa_otp_attempt', None)
except Exception as e:
st.error(f"❌ Failed to save MFA: {e}")
st.session_state.mfa_step = 'waiting_otp' # 回退重试
finally:
session.close()
else:
st.error("❌ Invalid OTP. Please try again.")
st.session_state.mfa_step = 'waiting_otp'
st.rerun()
⚠️ 关键注意事项：
-
永远不要在表单
submit块外读取st.text_input的值并用于后续逻辑——它的值只在本次重运行中有效，且需配合st.session_state才能跨周期传递。 - 使用
st.rerun()显式控制流程阶段切换，比依赖表单自动重运行更可控。 - 敏感操作（如数据库写入）建议放在独立
if分支中，而非嵌套在表单内部，提升可读性与调试性。 - 对用户输入做长度/格式校验（如
len(otp_code) != 6），避免无效调用validate_otp。
通过将流程拆解为明确的状态阶段（qr_display → waiting_otp → verifying → verified），并严格通过 st.session_state 传递数据，即可彻底规避“代码跳过执行”的幻觉，让 MFA 激活流程稳定、可预测、符合 Streamlit 最佳实践。
