Flask WTForms自定义登录校验器始终提示“用户名或密码错误”

核心代码缺陷定位 #

原代码中存在直接导致校验永远失败的参数顺序错误：

• werkzeug.security 提供的check_password_hash函数固定入参顺序为：第一个参数为数据库中存储的密码哈希值，第二个参数为用户提交的明文密码。
• 原代码中写为check_password_hash(field.data, user_email.password)，将用户输入的明文密码作为哈希值传入、将数据库存储的哈希值作为待校验明文传入，无论凭据是否合法，比对结果永远为False，必然触发校验错误。
• 错误写法对应的修正方式为：将两个入参交换顺序，写为check_password_hash(user_email.password, field.data)

全链路排查思路 #

按以下顺序逐环节验证，排除其他隐性故障：

• 校验入参传递逻辑：WTForms的行内自定义校验器固定接收form（当前表单实例）、field（当前绑定字段实例）两个入参，对应代码中form.email.data为用户输入的邮箱值、field.data为用户输入的密码值，该部分传值规则本身没有错误。
• 数据库查询逻辑验证：单独打印邮箱查询的返回结果，确认是否能精准匹配到对应用户，排查常见问题：
• 数据库连接异常导致查询为空
• 邮箱值未做归一化处理（如未统一转小写、未裁剪首尾空格），导致精确匹配失败
• User模型的字段映射错误，查询不到对应表记录
• 函数导入校验：确认check_password_hash是从werkzeug.security模块导入，未错导入为其他同名工具函数。
• 密码存储逻辑校验：确认用户注册时使用generate_password_hash生成密码哈希存入数据库，未直接将明文密码存储，或未使用同套加密逻辑。

修正后的可运行代码 #

from wtforms import ValidationError
from werkzeug.security import check_password_hash

def login_check(form, field):
    user = User.query.filter_by(email=form.email.data).first()
    if user is None:
        raise ValidationError('Username or password is incorrect')
    # 修正参数顺序的密码校验逻辑
    elif not check_password_hash(user.password, field.data):
        raise ValidationError('Username or password is incorrect')

class LoginForm(FlaskForm):
    email = StringField('Email', validators=[InputRequired(), Email()])
    password = PasswordField('Password', validators=[InputRequired(), login_check])
    submit = SubmitField('Login')

其他注意事项 #

• 校验逻辑中无论用户不存在还是密码错误，统一返回相同的错误提示，是避免被恶意枚举用户信息的安全设计，无需区分不同场景的错误文案。
• 若调整代码后仍存在校验异常，可在每个逻辑分支加入临时日志，打印查询到的用户对象、密码比对的返回值，定位具体卡壳的环节。

内容的提问来源于stack exchange，提问作者Radomir Mijovic