携带Bearer Token时request.endpoint为None的Flask权限验证问题

核心问题原因 #

1. 路由匹配时机问题：当携带JWT Token请求时，@jwt_required(optional=True)会优先处理验证逻辑，此时Flask尚未完成路由匹配，导致request.endpoint为None；而不带Token时，JWT验证跳过，路由匹配流程正常执行，request.endpoint能获取到有效值。
2. 重定向用法错误：redirect(request_flask.endpoint)是错误写法，redirect()需要接收URL字符串而非endpoint标识，即使endpoint有效，也需要用url_for(endpoint)生成对应URL。
3. 原请求地址丢失：没有保存用户原本要访问的地址，导致验证通过后无法正确跳转回目标页面。

修正后的代码实现 #

from flask import request, redirect, url_for, session
from flask_jwt_extended import jwt_required, get_jwt_identity
from flask_login import current_user

view_endpoints = ['views.task', 'views.tests']

@app.before_request
@jwt_required(optional=True)
def require_authorization():
    # 处理JWT验证通过的情况
    username = get_jwt_identity()
    if username:
        # 取出之前保存的原请求地址，默认跳转到首页
        next_url = session.pop('next', url_for('index'))
        return redirect(next_url)
    
    # 处理需要登录权限的页面访问
    if request.endpoint in view_endpoints:
        if not current_user.is_authenticated:
            # 保存当前请求的完整URL到session
            session['next'] = request.url
            return redirect('/login')

关键调整说明 #

• 装饰器顺序：将@app.before_request放在@jwt_required(optional=True)之前，确保Flask先初始化请求上下文，再执行JWT验证逻辑。
• 原地址存储：通过session['next']保存用户原本要访问的完整URL，避免依赖未初始化的request.endpoint。
• JWT验证逻辑简化：直接通过get_jwt_identity()判断是否有已验证的用户，无需额外调用optional_jwt()。
• 重定向逻辑修正：验证通过后从session中取出原地址跳转，确保用户回到最初请求的页面。

额外注意事项 #

• 确保Flask应用已配置SECRET_KEY，否则session无法正常存储数据。
• 若为纯API场景，可将next_url放在请求头或请求参数中传递，无需依赖session。
• 若无需同时兼容flask-login的current_user，可移除相关逻辑，完全基于JWT身份信息处理登录状态。

内容的提问来源于stack exchange，提问作者rafaelHTML