Flask会话无法跨页面保持，已尝试多方案仍未解决

问题场景 #

注册接口调用成功后已创建会话，但前端跳转页面后调用/get_current_user接口返回"not logged in"，全程无报错。已配置：

• Flask端开启CORS并设置supports_credentials=True
• 配置SESSION_COOKIE_SAMESITE=None、SESSION_COOKIE_SECURE=True
• 前端fetch请求添加credentials: 'include'

现有核心代码 #

后端Flask代码 #

from flask import Flask, request, session
from flask_cors import CORS, cross_origin
import sqlite3
import logging

app = Flask(__name__,template_folder="../templates", static_folder="../static")
logging.basicConfig(level=logging.DEBUG)

CORS(app, resources={r"/*": {"origins": "*"}}, supports_credentials=True)
app.secret_key = "166"
app.config.update(SESSION_COOKIE_SAMESITE=None, SESSION_COOKIE_SECURE=True)

def get_user(username):
    connection = sqlite3.connect('users.db')
    cursor = connection.cursor()
    cursor.execute('SELECT * FROM users WHERE username = ?', (username,))
    user = cursor.fetchone()
    connection.close()
    return user

@app.route('/get_current_user', methods=['GET'])
@cross_origin(supports_credentials=True)
def get_current_user():
    if "username" in session:
        return session["username"]
    else:
        return "not logged in"

@app.route('/register', methods=['POST'])
@cross_origin(supports_credentials=True)
def register():
    data = request.form
    username = data['username']
    password = data['password']
  
    # 省略用户存在校验、数据库插入逻辑
    session['username'] = username
    session.permanent = True
  
    # 省略响应构建逻辑
    return response

if __name__ == '__main__':
    create_database()
    app.run(debug=True,port=1661,host='0.0.0.0')

前端请求代码 #

fetch('http://xx.xx.xx.xx:1661/get_current_user', {credentials: 'include'})
  .then(response => response.text())
  .then(username => {
    const userNameElement = document.getElementById('user-name');
    userNameElement.textContent = username;
  })
  .catch(error => {
    console.error('Error fetching user data:', error);
  });

关键排查点与解决方案 #

1. SESSION_COOKIE_SECURE 配置与环境不匹配 #

当使用HTTP协议本地开发时，SESSION_COOKIE_SECURE=True会导致浏览器拒绝保存Cookie（该配置要求Cookie仅通过HTTPS传输）。
解决：
本地开发时改为False，上线HTTPS环境再恢复为True：

app.config.update(SESSION_COOKIE_SAMESITE=None, SESSION_COOKIE_SECURE=False)

2. CORS Origin 通配符冲突 #

开启supports_credentials=True时，CORS的origins不能设为*（浏览器会拦截带凭证的请求），必须指定具体的前端域名/端口。
解决：
替换为前端实际地址，多个地址用列表：

# 单origin示例
CORS(app, resources={r"/*": {"origins": "http://localhost:3000"}}, supports_credentials=True)

# 多origin示例
CORS(app, resources={r"/*": {"origins": ["http://localhost:3000", "http://your-production-domain.com"]}}, supports_credentials=True)

3. 会话有效期与Cookie域名配置 #

• 若设置session.permanent=True，可明确配置会话有效期避免默认规则意外失效：

from datetime import timedelta
app.config['PERMANENT_SESSION_LIFETIME'] = timedelta(hours=24)

• 前后端跨域名/端口时，检查SESSION_COOKIE_DOMAIN是否正确设置（例如后端域名是xx.xx.xx.xx，则设为app.config['SESSION_COOKIE_DOMAIN'] = 'xx.xx.xx.xx'），确保Cookie能跨页面共享。

4. 浏览器Cookie状态验证 #

通过浏览器开发者工具确认：

• 注册成功后，Application > Cookies > 后端地址下存在session Cookie
• 跳转页面后该Cookie未被清除
• 调用/get_current_user时，请求头包含Cookie字段且携带正确的session值

内容的提问来源于stack exchange，提问作者orenong