Flask-Login跨路由无法保留用户登录状态问题求助

核心问题分析 #

你的问题集中在跨域会话凭证传递、Flask-Login会话管理冲突以及回调函数配置错误三个方面，下面逐一给出解决步骤：

1. 移除load_user上的多余装饰器 #

@cross_origin是为API路由设计的跨域装饰器，load_user作为LoginManager的用户加载回调，不需要该装饰器，多余配置会干扰回调触发：

@login_manager.user_loader
def load_user(user_id):
    print(user_id, file=sys.stderr)
    return User.query.get(int(user_id))  # 注意将字符串类型的user_id转为整数

2. 停止手动操作Session，交给Flask-Login全权管理 #

你在Login路由里手动操作session['user_id']的逻辑，会和Flask-Login的内置会话管理机制冲突，login_user方法已经自动处理了会话存储，删除以下手动操作代码：

@app.route('/Login', methods=['GET', 'POST'])
@cross_origin(supports_credentials=True)
def Login():
    if request.method == 'POST':
        # 删除这三行手动操作Session的代码
        # session.pop('user_id', None)
        # session['username'] = request.get_json()['username']
        # session['password'] = request.get_json()['password']
        
        data = request.get_json()
        username = data['username']
        password = data['password']
        user = User.query.filter_by(username=username).first()
        if user and user.password == password:
            login_user(user, remember=True, force=True)
            return jsonify(current_user.id)
        else:
            return jsonify(-99999)
    # 表单代码保持不变

3. 前端请求必须携带凭证（关键） #

由于是React跨域请求，浏览器默认不会发送Session Cookie，必须在请求时显式开启凭证携带：

• 使用fetch时：

fetch('http://你的Flask服务器地址/AnswerQuestion/1', {
  credentials: 'include'
})

• 使用axios时：

axios.get('http://你的Flask服务器地址/AnswerQuestion/1', {
  withCredentials: true
})

4. 检查Flask的Session基础配置 #

确保你的Flask app已正确设置SECRET_KEY，这是会话加密持久化的核心：

app.secret_key = '你的高强度随机密钥'  # 建议通过环境变量配置，避免硬编码

5. 修复AnswerQuestion路由的语法问题 #

路由中注释了question实例化代码，直接返回question.to_json()会报错，补上实例化逻辑：

@app.route('/AnswerQuestion/<int:question_id>', methods=['GET', 'POST'])
@cross_origin(supports_credentials=True)
def AnswerQuestion(question_id):
    question = Question.query.get_or_404(question_id)  # 用get_or_404处理不存在的问题
    print(current_user.get_id(), file=sys.stderr)
    print(current_user.is_authenticated, file=sys.stderr)  # 增加调试输出
    return jsonify(question.to_json())

额外安全提示 #

当前代码直接存储明文密码属于高危行为，必须使用哈希算法（如bcrypt）加密存储：

# 先安装依赖：pip install bcrypt
import bcrypt

class User(db.Model, UserMixin):
    # 调整密码字段长度以适配哈希值
    password = db.Column(db.String(128))

    def __init__(self, username, email, password):
        self.username = username
        self.email = email
        # 加密密码
        self.password = bcrypt.hashpw(password.encode('utf-8'), bcrypt.gensalt()).decode('utf-8')
    
    # 密码验证方法
    def check_password(self, password):
        return bcrypt.checkpw(password.encode('utf-8'), self.password.encode('utf-8'))

# 登录时的密码验证改为：
if user and user.check_password(password):
    login_user(user, remember=True, force=True)

内容的提问来源于stack exchange，提问作者Vance