Flask搭配flask-jwt-extended自定义处理Unauthorized 401错误咨询

解决方案 #

核心原因是Flask-JWT-Extended默认会捕获JWT回调中抛出的所有异常，且如果回调直接返回Response对象，会被判定为请求已处理完成，不会触发Flask全局错误处理器，按照以下步骤调整即可：

1. 新增JWT扩展配置

开启异常冒泡配置，让JWT回调中抛出的异常可以传递到Flask全局错误处理栈：

app.config["JWT_PROPAGATE_EXCEPTIONS"] = True

2. 调整unauthorized_loader逻辑

不要在回调中返回Response，直接抛出标准401异常即可：

from flask import abort

@jwt.unauthorized_loader
def unauthorized_callback(error_msg):
    # 可将JWT返回的错误信息带入异常，后续错误处理器可以读取使用
    abort(401, description=error_msg)

其他JWT错误回调（比如expired_token_loader、invalid_token_loader等）都可以用相同写法，统一走全局401处理逻辑。

3. 全局401错误处理器做差异化处理

通过请求头判断客户端类型，分别返回对应响应：

from flask import request, jsonify, redirect, url_for

@app.errorhandler(401)
def handle_401(e):
    # 判断是否为API/移动端请求：检查Accept头优先接收JSON，或者是AJAX请求
    is_api_request = (
        request.accept_mimetypes.best == "application/json"
        or request.headers.get("X-Requested-With") == "XMLHttpRequest"
    )
    if is_api_request:
        # 移动端/API请求返回标准401状态码+JSON格式信息
        return jsonify(code=401, msg=str(e.description)), 401
    else:
        # Web端浏览器请求直接重定向到登录页
        return redirect(url_for("login_page"))

如果需要更精准的客户端区分，也可以根据移动端自定义的请求头（比如X-Client-Type: mobile）做判断，逻辑完全可以自行扩展。

内容的提问来源于stack exchange，提问作者jestrabikr