Flask中使用Supabase更新用户认证密码遇API错误，求正确方法

你的代码存在的核心问题 #

• auth.update_user() 使用错误：这个方法是用来更新当前已登录用户的信息，不需要传入id参数。而你当前的密码重置场景下，用户大概率处于未登录状态，调用supabase_client.auth.get_user()会因为没有有效会话直接报错。
• 手动更新自定义Users表密码是错误操作：Supabase的认证密码存储在auth.users表中，且是经过哈希处理的安全存储。你自己的Users表不应该存储明文密码，这会带来严重的安全风险，而且完全没必要——认证系统会自动管理密码。
• 重置密码的逻辑不符合Supabase设计流程：密码重置场景下用户通常未登录，应该使用Supabase提供的密码重置邮件流程，而非直接调用更新接口。

正确的实现方案 #

场景1：已登录用户修改自身密码 #

如果是用户已登录，想要修改自己的密码，代码应该这样写：

@app.route('/change-password', methods=['GET','POST'])
def change_password():
    if request.method == 'POST':
        try:
            new_password = request.form['new_password']
            # 直接调用update_user，无需传id，默认更新当前登录用户
            supabase_client.auth.update_user({"password": new_password})
            flash('密码已成功更新')
            return render_template('dashboard.html')
        except Exception as e:
            flash(f'更新失败：{str(e)}')
            return render_template('change-password.html')
    return render_template('change-password.html')

这里不需要手动操作自定义Users表，Supabase会自动处理auth.users表的密码哈希存储。

场景2：未登录用户通过邮箱重置密码（你的/reset路由场景） #

这是密码重置的标准流程，需要先发送重置邮件，用户点击邮件链接后设置新密码：

第一步：发送密码重置邮件

@app.route('/reset', methods=['GET','POST'])
def reset_request():
    if request.method == 'POST':
        try:
            email = request.form['email']
            # 发送密码重置邮件到用户邮箱
            supabase_client.auth.reset_password_email(email)
            flash('密码重置邮件已发送，请检查你的邮箱')
            return render_template('login.html')
        except Exception as e:
            flash(f'发送失败：{str(e)}')
            return render_template('reset.html')
    return render_template('reset.html')

第二步：处理重置链接并设置新密码

用户点击邮件中的链接后，会跳转到设置新密码的页面，对应的路由代码：

@app.route('/reset-password', methods=['GET','POST'])
def reset_password():
    # 从URL中获取Supabase重置链接携带的token和email参数
    token = request.args.get('token')
    email = request.args.get('email')
    
    if request.method == 'POST':
        try:
            new_password = request.form['new_password']
            # 使用token验证并设置新密码
            supabase_client.auth.update_user(
                {"password": new_password},
                options={"email_redirect_to": "http://your-domain.com/login"}
            )
            flash('密码已重置成功，请登录')
            return render_template('login.html')
        except Exception as e:
            flash(f'重置失败：{str(e)}')
            return render_template('reset-password.html', token=token, email=email)
    return render_template('reset-password.html', token=token, email=email)

关键注意事项 #

• 永远不要在自定义表中存储明文密码，Supabase认证系统会自动安全管理密码。
• 密码重置必须通过邮件验证流程，这是保障账户安全的必要步骤，不能直接通过邮箱修改密码（除非用户已登录）。
• 处理异常时，要捕获Supabase SDK抛出的错误，方便排查问题。

内容的提问来源于stack exchange，提问作者HARISH A K