如何在Flask API中完全禁用Cookie？

要彻底禁用Flask API中的Cookie，需要从Flask原生会话、Authlib配置以及响应处理三个层面入手，具体步骤如下：

1. 禁用Flask原生Session Cookie #

Flask默认会自动生成session cookie，哪怕你没有主动使用会话功能。要彻底关闭它，只需将Flask的会话接口替换为空实现：

from flask import Flask
from flask.sessions import NullSessionInterface

app = Flask(__name__)
# 替换为空会话接口，不再生成任何session cookie
app.session_interface = NullSessionInterface()

2. 配置Authlib不依赖Cookie存储 #

Authlib在处理OAuth2流程时，默认会用Flask的session存储临时参数（比如state），需要调整配置让它脱离session，并自定义state的存储逻辑以防范CSRF攻击：

from authlib.integrations.flask_client import OAuth

oauth = OAuth(app)
# 禁用Authlib对Flask session的依赖
app.config['OAUTH2_CLIENT_DISABLE_SESSION'] = True

# 自定义state存储（示例用内存存储，生产环境建议用Redis等分布式存储）
state_storage = {}

def save_auth_state(state, data):
    state_storage[state] = data

def load_auth_state(state):
    return state_storage.pop(state, None)

# 注册Auth0客户端时指定自定义的state存储方法
oauth.register(
    'auth0',
    client_id='你的Auth0客户端ID',
    client_secret='你的Auth0客户端密钥',
    authorize_url='https://你的Auth0域名/authorize',
    access_token_url='https://你的Auth0域名/oauth/token',
    client_kwargs={'scope': 'openid profile email'},
    save_state=save_auth_state,
    load_state=load_auth_state
)

3. 清除所有响应中的Cookie #

为了确保没有遗漏的Cookie被发送，可通过after_request钩子统一清除响应中的Set-Cookie头部：

@app.after_request
def strip_all_cookies(response):
    # 移除所有Set-Cookie响应头
    response.headers.pop('Set-Cookie', None)
    return response

完成以上配置后，你的Flask API就不会再生成或发送任何Cookie，完全符合无Cookie的安全要求。

内容的提问来源于stack exchange，提问作者dino