Flask+SQLAlchemy多设备会话下ORM实例冲突问题及解决方案咨询

我开发了一个基于Flask的应用，用SQLAlchemy做数据库层，为实现用户注册登录功能集成了Flask Security Too。

目前遇到的问题是：当用户在多设备同时登录（比如一处登录后，另一处更新数据）时，SQLAlchemy ORM会出现冲突，报错信息如下：

SqlAlchemy: Insert New Row and Modify Another: "Can't attach instance ; another instance with key is already present in this session"

我试过对象合并、过渡对象等方法，但都没解决问题。现在想搞清楚：
多用户多设备场景下使用SQLAlchemy的正确策略是什么？
是否应该用scoped session？SQLAlchemy适配这种场景吗？有没有能避免这类问题的Flask Security Too替代方案？

附加代码 #

数据库实例化代码 #

ONOS_SQLALCHEMY_DATABASE_URI= os.environ.get('BONOS_SQLALCHEMY_DATABASE_URI')

engine = create_engine(BONOS_SQLALCHEMY_DATABASE_URI, pool_size=14)
                           
SessionFactory = scoped_session(sessionmaker(bind=engine))

session = SessionFactory(expire_on_commit=True)

Base = declarative_base()

引发问题的会话保存代码 #

class SQLAlchemyDatastore(Datastore):
    def commit(self):
        self.db.session.commit()

    def put(self, model):
        self.db.session.merge(model)
        self.db.session.commit()
        self.db.session.add(model)
        return model

一、先修复当前代码的致命错误 #

你的put方法逻辑完全混乱，这是直接引发冲突的原因：

• 调用merge后，实例已经被关联到会话，不需要再执行add
• commit后实例会被会话标记为过期（因为你设置了expire_on_commit=True），此时再add会导致实例状态异常

正确的put写法应该是：

def put(self, model):
    merged_model = self.db.session.merge(model)
    self.db.session.commit()
    return merged_model

如果是更新现有实例，直接修改属性后提交即可，不需要手动merge——除非实例是来自当前会话外部的脱管对象。

二、多用户多设备场景下SQLAlchemy的正确策略 #

1. 必须用scoped_session，但要正确用
   你虽然创建了scoped_session，但直接全局实例化了session = SessionFactory(...)，这会导致所有请求共用同一个会话，完全违背了scoped_session的隔离设计。

   正确做法是：不要全局创建session实例，而是在请求上下文内通过SessionFactory()获取独立会话，或者直接用Flask-SQLAlchemy——它已经帮你封装了和Flask请求上下文绑定的scoped_session，自动处理会话的创建、销毁。

2. 严格遵守会话隔离原则

   • 每个请求对应一个独立会话，请求结束后必须关闭会话（Flask-SQLAlchemy会自动处理）
   • 绝对不能跨请求、跨线程共享会话实例
   • 后台异步任务（比如Celery）要单独创建新会话，不能复用请求中的会话

3. 处理并发更新冲突
   多设备同时修改同一数据时，除了会话隔离，还需要加乐观锁避免冲突：
   在模型中添加版本字段，SQLAlchemy会自动校验版本，当同一数据被两个会话修改时，第二个提交会抛出StaleDataError，此时可以捕获错误提示用户重新加载数据后再操作。示例：

   from sqlalchemy import Column, Integer, String
   from sqlalchemy.ext.declarative import declarative_base
   
   Base = declarative_base()
   
   class User(Base):
       __tablename__ = 'users'
       id = Column(Integer, primary_key=True)
       username = Column(String(50), unique=True)
       version_id = Column(Integer, default=1)
   

三、关于Flask Security Too的适配与替代 #

1. Flask Security Too本身适配正确的SQLAlchemy用法
   你的问题不是Flask Security Too的问题，而是自己的会话管理逻辑错误。只要修复会话的使用方式，Flask Security Too可以正常在多设备场景下工作。

2. 替代方案可选
   如果确实想更换，可以考虑：

   • Flask-Login：轻量型工具，只处理登录核心逻辑，注册、权限控制需要自己实现
   • Authlib：功能更全面，支持OAuth2、OpenID等协议，可与SQLAlchemy无缝配合

内容的提问来源于stack exchange，提问作者David Cervi