Flask中实现支持含短横线邮箱的WTForms安全验证方法

WTForms默认的Email验证器使用的正则对字符限制偏严，而根据邮箱的RFC标准，本地部分和域名部分都允许包含短横线（-）。下面是两种可行的解决方法，同时兼顾输入安全：

方法一：自定义正则的Email验证器 #

直接给Email验证器传入支持短横线的正则表达式，替换默认规则：

from flask_wtf import FlaskForm
from wtforms import StringField
from wtforms.validators import DataRequired, Email

# 符合RFC规范、允许短横线的邮箱正则
ALLOW_HYPHEN_EMAIL_REGEX = r'^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$'

class RegistrationForm(FlaskForm):
    email = StringField('Email', validators=[
        DataRequired(),
        Email(regex=ALLOW_HYPHEN_EMAIL_REGEX)
    ])

这个正则中，本地部分允许a-z、A-Z、0-9以及._%+-这些合法字符（包含短横线），域名部分也允许短横线，同时保证邮箱格式的有效性。

方法二：自定义验证函数（更灵活的安全控制） #

如果需要额外的安全过滤，可以编写自定义验证函数，在格式验证的基础上添加恶意字符拦截：

from flask_wtf import FlaskForm
from wtforms import StringField, ValidationError
from wtforms.validators import DataRequired
import re

def validate_allowed_email(form, field):
    # 基础格式验证：允许短横线的邮箱规则
    email_pattern = r'^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$'
    if not re.fullmatch(email_pattern, field.data):
        raise ValidationError('请输入有效的邮箱地址')
    
    # 额外安全检查：拦截可能用于注入或恶意攻击的字符/序列
    forbidden_chars = re.compile(r'[<>()\[\]\\{},;:\s"]|@.*@')
    if forbidden_chars.search(field.data):
        raise ValidationError('邮箱地址包含无效或不安全的字符')

class RegistrationForm(FlaskForm):
    email = StringField('Email', validators=[
        DataRequired(),
        validate_allowed_email
    ])

这个方法除了验证邮箱格式，还会拦截尖括号、空格、多个@符号等可能带来安全风险的内容。

关键安全提示 #

• 无论使用哪种验证方式，都要确保正则符合邮箱的RFC标准，避免过于宽松导致接受完全无效的邮箱地址
• 格式验证只是基础，最可靠的验证方式是发送验证邮件到用户输入的邮箱，只有用户能完成邮件验证，才能确认邮箱的有效性和归属
• 后续处理用户邮箱时，要做好转义处理，避免在输出或存储时出现安全问题

内容的提问来源于stack exchange，提问作者Muriel