Flask中为何路由调用间form变量似乎保持作用域？

你完全搞错了——form根本不会在多次请求间持久化，每次访问/register，不管是GET还是POST，register()函数都会重新执行，form = RegistrationForm()都会创建一个全新的实例，两次请求的form完全是独立的对象。

问题出在你对form.validate_on_submit()的逻辑理解上，拆解一下整个流程：

• 首次GET请求：

  1. 创建新的RegistrationForm实例，此时因为是GET请求，表单没有任何用户输入的数据，validate_on_submit()会直接返回False（这个方法首先会检查请求方法是不是POST，GET直接不通过）。
  2. 渲染模板时，Flask-WTF会自动给表单添加一个隐藏的CSRF令牌字段，这个令牌是和当前会话绑定的。

• 用户提交表单的POST请求：

  1. 浏览器把用户填写的表单数据，加上刚才的CSRF令牌，一起以POST方式发送到/register路由。
  2. register()函数再次执行，创建新的RegistrationForm实例——重点来了：Flask-WTF的表单类会自动从本次请求的POST数据中加载所有字段值，同时也会读取CSRF令牌。
  3. 调用form.validate_on_submit()时，它先检查请求方法是POST，然后验证所有字段的规则（比如邮箱格式、密码长度等），还要验证CSRF令牌是否有效，全部通过就返回True，触发后续的添加用户和跳转逻辑。

简单说：POST请求时的新form实例，不是空的，它自动拿到了用户刚提交的数据，所以能通过验证，和之前GET请求的form没有半毛钱关系。

内容的提问来源于stack exchange，提问作者Antti Stålnacke