Flask应用部署至App Engine后会话被自动清理频繁跳转登录页如何解决

该问题90%以上的场景是Flask session的默认配置和App Engine的多实例运行特性不匹配导致，核心原因分三类：

1. Flask默认使用签名Cookie实现客户端session，依赖固定的SECRET_KEY做签名校验，如果部署时使用动态生成的SECRET_KEY，多实例或实例重启后密钥不一致，就会识别session无效直接清空
2. 如果使用了Flask-Session等服务端session扩展，默认的本地文件存储在App Engine临时文件系统中，多实例之间不共享，请求落到不同实例就找不到session数据
3. session Cookie的属性和线上HTTPS环境不匹配，导致浏览器拦截Cookie无法携带到服务端

1. 配置固定的SECRET_KEY #

禁止使用动态生成的密钥，改为固定值或者通过环境变量注入：

• 代码侧配置：

import os
# 优先读取App Engine注入的环境变量，本地开发可用固定测试值
app.secret_key = os.environ.get('FLASK_SECRET_KEY', '本地开发用固定密钥串')

• 在App Engine的app.yaml中配置生产环境密钥：

env_variables:
  FLASK_SECRET_KEY: "用python -c 'import secrets; print(secrets.token_hex(32))'生成的32位以上随机串"

2. 服务端session改为共享存储 #

如果使用了Flask-Session，不要用默认的filesystem存储，改为多实例可访问的共享存储（推荐Redis或者Firestore），示例Redis配置：

from flask_session import Session
import redis

app.config['SESSION_TYPE'] = 'redis'
app.config['SESSION_REDIS'] = redis.Redis(
    host='你的云Redis实例访问地址',
    port=6379,
    password='你的Redis密码（如有）'
)
app.config['SESSION_USE_SIGNER'] = True
Session(app)

3. 适配线上环境的Cookie配置 #

针对App Engine默认的HTTPS环境，调整Cookie属性避免被浏览器拦截：

# 线上HTTPS环境开启Secure属性，仅加密传输Cookie
app.config['SESSION_COOKIE_SECURE'] = True
# 配置SameSite属性避免跨站拦截
app.config['SESSION_COOKIE_SAMESITE'] = 'Lax'
# 设置7天有效期，避免会话级Cookie被浏览器意外清除
app.config['PERMANENT_SESSION_LIFETIME'] = 3600 * 24 * 7

同时修改登录逻辑，设置session永久生效：

@app.route('/', methods=['GET','POST'])
def login():
    if request.method == 'POST':
        if bcrypt.checkpw(request.form['password'].encode('utf-8'), hashed_pass.encode('utf-8')) and (request.form['user_name'] == firebase_user_name) :
            session['loggedin'] = 'admin'
            session.permanent = True # 新增该行配置有效期
            return redirect(url_for('dashboard'))
        flash('Username or password incorrect')
    return render_template('login.html')

4. 临时验证方案 #

如果需要快速确认是不是多实例导致的问题，可以临时把App Engine的实例数调整为1，验证session是否稳定，确认问题根源后再调整上述配置即可。

内容的提问来源于stack exchange，提问作者Hritik Rohilla