Flask邮箱验证：如何在except块中访问try内的email变量

你可以通过两种实用方法解决这个问题：

方法一：强制解析过期token获取邮箱 #

利用itsdangerous的loads方法自带的ignore_expiration=True参数，即使token过期也能解析出其中存储的邮箱信息，具体代码实现如下：

from itsdangerous import TimedJSONWebSignatureSerializer as Serializer, SignatureExpired, BadTimeSignature
from flask import current_app
from your_app.models import User, db

@app.route('/activate/<token>')
def activate_account(token):
    serializer = Serializer(current_app.config['SECRET_KEY'])
    try:
        # 正常解析token，校验有效期
        data = serializer.loads(token)
        email = data.get('email')
        user = User.query.filter_by(email=email).first()
        
        if not user:
            return '无效的验证链接'
        if user.reg_token == 'activated':
            return '该账户已完成激活'
        if user.reg_token == token:
            user.reg_token = 'activated'
            db.session.commit()
            return '账户激活成功'
        else:
            return '验证链接无效，请重新申请'
    except SignatureExpired:
        # token过期时，强制解析获取邮箱
        try:
            data = serializer.loads(token, ignore_expiration=True)
            email = data.get('email')
            user = User.query.filter_by(email=email).first()
            
            if user and user.reg_token == 'activated':
                return '该账户已激活，当前验证链接已过期'
            else:
                return '验证链接已过期，请重新发送验证邮件'
        except BadTimeSignature:
            return '无效的验证链接'
    except BadTimeSignature:
        return '无效的验证链接'

关键点说明： #

• 区分捕获SignatureExpired（token过期）和BadTimeSignature（token被篡改）两种异常，处理更精准
• 在SignatureExpired分支里，通过ignore_expiration=True绕过有效期校验，提取出token内的邮箱，进而查询用户激活状态
• 内层嵌套try-except是为了处理token被篡改、强制解析也失败的情况

方法二：将邮箱作为URL参数传递 #

生成验证链接时，把邮箱作为额外参数拼接到URL中，直接从请求参数里获取邮箱，无需依赖token解析：

# 生成验证链接的代码示例
def generate_activation_link(email):
    serializer = Serializer(current_app.config['SECRET_KEY'], expires_in=3600)
    token = serializer.dumps({'email': email}).decode('utf-8')
    # 拼接邮箱参数到链接
    return f"{current_app.config['BASE_URL']}/activate/{token}?email={email}"

激活路由的处理代码：

from flask import request

@app.route('/activate/<token>')
def activate_account(token):
    email = request.args.get('email')
    serializer = Serializer(current_app.config['SECRET_KEY'])
    try:
        data = serializer.loads(token)
        # 校验参数邮箱与token内邮箱一致，防止恶意篡改
        if data.get('email') != email:
            return '无效的验证链接'
        # 后续激活逻辑同方法一...
    except SignatureExpired:
        if email:
            user = User.query.filter_by(email=email).first()
            if user and user.reg_token == 'activated':
                return '该账户已激活，验证链接已过期'
            else:
                return '验证链接已过期，请重新申请'
        else:
            return '无效的验证链接'
    except BadTimeSignature:
        return '无效的验证链接'

关键点说明： #

• 优点是无需重复解析token，逻辑更直接
• 必须增加邮箱一致性校验，避免恶意用户篡改URL参数

内容的提问来源于stack exchange，提问作者xyres