Flask WTForms设置动态默认值出现CSRF token缺失报错如何解决

CSRF 报错原因 #

你手动调用无参数的form.process()方法时，会覆盖FlaskForm默认的请求数据绑定逻辑。FlaskForm在实例化时会自动读取当前请求的表单数据（包含CSRF token）用于提交验证，但无参调用process方法会清空csrf_token字段的预期校验值，最终导致后端校验失败，抛出缺失错误。

如果要保留手动修改default后调用process的写法，需要在POST请求时传入请求表单数据：

from flask import request

last_weight = get_last_weight()
form = weight()
form.weight.default = last_weight
# 提交阶段传入请求数据，避免丢失CSRF token
if request.method == 'POST':
    form.process(formdata=request.form)
else:
    form.process()

动态默认值的最优设置方式 #

你之前直接传default参数报错的原因是写法错误：你写的default=get_last_weight()带了括号，相当于在表单类定义阶段就立即执行了get_last_weight函数，而类定义是在应用启动阶段加载的，此时还没有请求上下文，自然会报错。

按照文档说明传入可调用对象的正确写法是去掉括号，直接传入函数本身：

class weight(FlaskForm):
    # 直接传入函数对象，表单实例化时才会执行取值，此时处于请求上下文内
    weight = StringField('Enter your weight', validators=[DataRequired()], default=get_last_weight)
    submit = SubmitField('Submit')

这种写法是最简单的最优方案，不需要额外修改默认值和手动调用process方法，完全符合WTForms的设计规范。

如果有更复杂的动态默认值逻辑（比如需要根据请求参数动态计算默认值），也可以在表单实例化时通过data参数传入：

last_weight = get_last_weight()
form = weight(data={'weight': last_weight})

这种方式同样不需要手动调用process方法，也不会出现CSRF校验问题。

内容的提问来源于stack exchange，提问作者Joshua