Flask部署IIS+FastCGI后多数请求下登录会话失效问题

核心问题场景 #

部署在IIS+FastCGI环境下的Flask应用，登录成功后可正常跳转首页并显示用户信息，Session与Remember_Token已生成，但刷新首页或点击其他页面时，会随机跳回登录页；无浏览器报错、网络请求正常、WSGI日志无错误记录，且已配置SECRET_KEY。

排查与解决方向 #

1. 内存用户存储的多进程隔离问题 #

当前使用全局字典users = {}存储用户，而FastCGI是多进程模式，IIS会启动多个独立的wfastcgi进程，每个进程拥有独立内存空间。当请求分配到未存储当前用户的进程时，load_user无法找到用户ID，触发未授权跳转。

解决方式：
将用户存储从内存字典替换为跨进程共享的存储方案：

• 使用Redis/Memcached作为用户临时存储（配合Flask-Caching）；
• 持久化到数据库（如SQLite、MySQL），示例代码：

from flask_sqlalchemy import SQLAlchemy

db = SQLAlchemy()

class User(db.Model):
    id = db.Column(db.String(255), primary_key=True)  # 用dn作为主键
    username = db.Column(db.String(100))
    groups = db.Column(db.Text)

@login_manager.user_loader
def load_user(id):
    return User.query.get(id)

@ldap_manager.save_user
def save_user(dn, username, data, memberships):
    user = User.query.get(dn)
    if not user:
        groups = set()
        for group in data['memberOf']:
            group_name = group.split(',')
            groups.add(group_name[0].split('=')[-1])
        user = User(id=dn, username=username, groups=','.join(groups))
        db.session.add(user)
        db.session.commit()
    return user

2. Flask Session的进程内存储限制 #

Flask默认将Session数据加密后存在客户端Cookie中，但如果依赖进程内存存储会话关联数据，当wfastcgi进程重启（如IIS应用池回收、文件变更触发重启），进程内的会话数据会丢失，导致用户身份验证失效。

解决方式：
使用Flask-Session扩展将Session存储到共享介质，示例配置：

# 先安装依赖：pip install flask-session redis
from flask_session import Session

app = Flask(__name__)
app.config['SECRET_KEY'] = '你的密钥'
app.config['SESSION_TYPE'] = 'redis'
app.config['SESSION_REDIS'] = redis.Redis(host='localhost', port=6379)
Session(app)

3. Cookie配置的细节问题 #

• SameSite拼写错误：当前配置SESSION_COOKIE_SAMESITE = "LaX"应为"Lax"（大写L），拼写错误会导致浏览器忽略该设置，可能限制Cookie在部分请求中发送；
• Cookie路径/域名：若应用部署在IIS的子路径下（如/flaskapp），需显式设置SESSION_COOKIE_PATH = '/flaskapp'，确保Cookie在子路径请求中被携带；
• HTTP协议下的Secure设置：确认SESSION_COOKIE_SECURE和REMEMBER_COOKIE_SECURE均为False（默认值），否则浏览器不会在HTTP请求中发送Cookie。

4. 用户ID的一致性校验 #

login_user默认使用用户对象的get_id()方法返回值作为Session中的用户ID，需确保该返回值与load_user中查询用户的键一致：

• 当前users字典的键是dn，需确认User类的get_id()方法返回dn：

class User:
    def __init__(self, dn, username, data, groups):
        self.dn = dn
        self.username = username
        # 其他属性...
    
    def get_id(self):
        return self.dn  # 确保返回的是users字典的键

5. IIS应用池的回收策略 #

检查IIS应用池的自动回收设置（如定时回收、内存/CPU阈值回收），频繁的进程回收会导致内存中的临时数据丢失。可调整回收策略，或配合共享存储方案避免依赖进程内存。

内容的提问来源于stack exchange，提问作者Dunkin Doughnuts