Flask网站会话全局共享，多用户无法同时登录求助

你的核心问题是多用户会话冲突，本质是会话隔离机制未正确生效，导致不同设备共享了同一用户会话。以下是具体修复步骤：

关键问题点与修复 #

1. 修复SECRET_KEY配置 #

当SECRET_KEY未正确设置（比如环境变量缺失导致值为None），Flask无法正确签名会话，可能引发会话篡改或共享问题。给SECRET_KEY添加默认值，确保开发环境正常运行：

app.config['SECRET_KEY'] = os.getenv('SECRET_KEY', 'your-dev-secret-key-keep-it-safe')

生产环境务必使用独立的安全随机字符串作为SECRET_KEY。

2. 移除冗余的初始化代码 #

login_manager = LoginManager(app)已完成初始化，重复调用login_manager.init_app(app)无意义，直接删除：

# 原代码中的这行删除
login_manager.init_app(app)

3. 显式配置会话存储目录 #

使用filesystem会话类型时，显式指定存储目录，确保会话文件隔离：

app.config["SESSION_FILE_DIR"] = "./flask_session"  # 确保目录存在，权限正确

4. 修正登录时的name赋值逻辑 #

登录时不要从表单获取name，直接从数据库用户对象中读取，避免表单输入错误或数据不一致：

# 登录路由中替换这行
session["name"] = user.name

5. 完善登出逻辑 #

登出时彻底清除会话数据，避免残留信息导致异常：

@app.route('/logout')
def logout():
    logout_user()
    session.clear()  # 彻底清除所有会话数据
    return redirect(url_for('home'))

修复后的核心代码片段 #

app = Flask(__name__)
app.config['SECRET_KEY'] = os.getenv('SECRET_KEY', 'your-dev-secret-key-keep-it-safe')
app.config["SESSION_PERMANENT"] = False
app.config["SESSION_TYPE"] = "filesystem"
app.config["SESSION_FILE_DIR"] = "./flask_session"
Session(app)

Bootstrap(app)
login_manager = LoginManager(app)
login_manager.session_protection = "strong"

# 数据库连接与模型定义保持不变...

@app.route('/login', methods=["POST", "GET"])
def login():
    if current_user.is_authenticated:
        return redirect(url_for('home'))
    form = LoginForm()
    if request.method == "POST":
        email = form.email.data
        password = form.password.data

        user = User.query.filter_by(email=email).first()
        if not user:
            flash("That email does not exist, please try again.")
            return redirect(url_for('login'))
        if werkzeug.security.check_password_hash(user.password, password):
            login_user(user)
            session["name"] = user.name
            return redirect(url_for("home"))
        else:
            flash("Password incorrect, try again.")
            return redirect(url_for('login'))

    return render_template("login.html", form=form, title="Login Page")

@app.route('/logout')
def logout():
    logout_user()
    session.clear()
    return redirect(url_for('home'))

额外测试建议 #

1. 测试前清除所有设备浏览器的缓存和Cookie，确保没有残留的旧会话数据。
2. 确认已正确安装flask-session扩展（执行pip install flask-session）。
3. 模板中判断登录状态时，优先使用current_user.is_authenticated，而非依赖session["name"]，这是Flask-Login提供的可靠验证方式。

内容的提问来源于stack exchange，提问作者Slintel