不使用wtf_forms能否启用flask_wtf CSRF防护？为何提交表单提示令牌缺失

是否可以在不使用WTForms的前提下使用flask_wtf的CSRF防护 #

可以。flask_wtf提供的CSRFProtect组件本身独立于WTForms的表单类，不需要定义WTForm表单实例，就可以实现全局或指定路由的CSRF校验能力。

你当前代码的问题 #

1. 缺少SECRET_KEY配置
   flask_wtf的CSRF令牌生成和校验完全依赖Flask应用的SECRET_KEY配置，你当前的初始化代码中没有配置该参数，会导致模板生成的csrf_token无效，提交时自然校验失败。
2. 缺失POST请求处理逻辑
   你的reserve路由仅处理了GET请求，POST请求进入后没有对应的处理分支，虽然这不是CSRF报错的直接原因，但会导致表单提交后出现405/500错误。
3. 表单输入框缺少name属性
   你的文本输入框未设置name属性，浏览器提交表单时不会携带该字段的值，后续业务逻辑无法获取用户输入内容。

修复后的代码示例 #

后端代码 #

from flask import Flask, render_template, request
from flask_wtf.csrf import CSRFProtect

app = Flask(__name__)
# 必须配置SECRET_KEY，生产环境请使用随机生成的安全密钥
app.config['SECRET_KEY'] = '替换为你自己的安全密钥'
csrf = CSRFProtect(app)

@app.route("/reserve", methods=["GET", "POST"])
def reserve():
    # 自行补充上下文变量
    context = {}
    if request.method == "GET":
        return render_template("reserve.html", **context)
    # CSRF校验会在进入路由前自动完成，校验失败直接返回400错误
    if request.method == "POST":
        # 处理表单提交逻辑
        user_name = request.form.get('name')
        return f"提交成功，用户姓名：{user_name}"

模板代码（reserve.html） #

<form id="Reserve" action="/reserve" method="post">
   <!-- csrf protection -->
   <input type="hidden" name="csrf_token" value="{{ csrf_token() }}"/>
   <input type="text" name="name" placeholder="Name">
   <button type="submit">
        Submit
   </button>
</form>

异常排查方案 #

如果修复后仍提示缺少CSRF令牌，可按以下步骤排查：

• 打开浏览器开发者工具的网络面板，查看表单提交的Form Data中是否存在csrf_token字段，确认字段值不为空
• 检查是否有自定义的请求钩子提前修改了表单数据，导致csrf_token字段被清除
• 确认对应路由没有添加@csrf.exempt装饰器，该装饰器会跳过当前路由的CSRF校验

内容的提问来源于stack exchange，提问作者Shelef tavor