Flask设置FLASK_ENV为production时无法读取SECRET_KEY报错如何解决

问题原因 #

• 即便你未主动使用Sessions模块，代码中csrf.init_app(app)引入的CSRF防护功能依赖SECRET_KEY生成校验令牌，会强制校验该配置项，触发报错。
• Dev模式正常运行的核心原因：Flask在DEBUG开启的开发模式下，会自动生成临时SECRET_KEY供开发调试使用，无需严格校验配置；生产模式下会禁用该兜底逻辑，必须显式配置合法的SECRET_KEY。
• 额外排查点：如果生产环境的工作目录和开发环境不一致，Config.py中拼接的.env路径可能失效，导致load_dotenv读取不到SECRET_KEY，返回None触发报错。

解决方案 #

方案1：修复.env文件加载逻辑，添加配置校验 #

修改Config.py代码，先校验SECRET_KEY是否读取成功，提前暴露配置问题：

from os import environ, path
from dotenv import load_dotenv

basedir = path.abspath(path.dirname(__file__))
# 加载.env时添加override参数，避免系统环境变量覆盖.env配置（可选）
load_dotenv(path.join(basedir, '.env'), override=True)

class Config:
    SECRET_KEY = environ.get('SECRET_KEY')
    # 新增配置校验，缺失直接抛出明确报错
    if not SECRET_KEY:
        raise RuntimeError("SECRET_KEY配置缺失，请检查.env文件或系统环境变量")
    SQLALCHEMY_DATABASE_URI = environ.get('DB_URI')

# 后续ProdConfig、DevConfig代码保持不变

方案2：生产环境优先使用系统环境变量注入（更稳定） #

生产环境不依赖本地.env文件，直接通过系统环境变量注入SECRET_KEY，优先级高于.env文件配置，以Linux为例，启动服务前执行：

export SECRET_KEY="替换为你自己生成的随机安全密钥"

如果用容器部署、systemd管理服务，也可以在对应配置文件中设置环境变量，安全性和稳定性更高。

方案3（不推荐）：移除CSRF防护 #

如果你的接口确实不需要CSRF防护，可以删除run.py中的csrf.init_app(app)代码，就不会触发SECRET_KEY校验，但会带来跨站请求伪造的安全风险。

内容的提问来源于stack exchange，提问作者Sardar Faisal