Flask非Flask-SQLAlchemy数据库配置安全性及线程会话污染问题

架构老林

2026-7-15

全局SQLAlchemy会话在Flask多线程环境下的安全性分析

这种用全局变量管理SQLAlchemy会话的配置既不正确也不安全，在多线程处理请求时必然会出现会话交叉污染的问题。

核心原因

Flask默认开发服务器（Werkzeug）采用多线程模式，每个HTTP请求由独立线程处理。而SQLAlchemy的Session对象本身不是线程安全的——它内部维护了查询状态、事务上下文、缓存数据等私有状态，多个线程同时操作同一个全局Session实例时，会导致：

不同请求的事务互相干扰，出现提交/回滚异常
一个请求读取到另一个请求未提交的临时数据
会话状态混乱，引发重复查询、数据篡改等难以排查的问题

正确的替代方案

如果不想使用Flask-SQLAlchemy，必须将Session与Flask请求上下文绑定，确保每个请求拥有独立的Session实例：

使用SQLAlchemy的scoped_session工具，它会为每个线程维护独立的Session实例
通过Flask的请求钩子自动创建和销毁Session

示例代码：

from flask import Flask, g
from sqlalchemy import create_engine
from sqlalchemy.orm import sessionmaker, scoped_session

app = Flask(__name__)
# 初始化数据库引擎
engine = create_engine("your-database-connection-url")
# 创建线程隔离的Session工厂
db_session_factory = scoped_session(sessionmaker(bind=engine))

@app.before_request
def setup_db_session():
    # 为当前请求绑定Session
    g.db_session = db_session_factory()

@app.teardown_request
def teardown_db_session(exception=None):
    # 请求结束后关闭Session并清理上下文
    session = getattr(g, "db_session", None)
    if session is not None:
        session.close()
        db_session_factory.remove()

在业务代码中，直接通过g.db_session获取当前请求的Session即可，无需全局变量。