如何在Flask-WTF验证器及自定义字段验证器中使用current_user？

嘿，这两个问题问到点子上了，我来给你详细拆解清楚：

其实很直接——只要你是在请求上下文内执行表单验证（也就是在视图函数里调用form.validate_on_submit()），current_user就是完全可用的。Flask-WTF的字段级验证方法（比如validate_<字段名>）和表单全局的validate()方法，都是在请求处理阶段运行的，这时候Flask-Login已经帮你加载好当前用户了。

举个实际的例子，比如验证用户名不能和当前用户重复：

from flask_wtf import FlaskForm
from wtforms import StringField, SubmitField
from wtforms.validators import DataRequired, ValidationError
from flask_login import current_user
from your_app.models import User

class UpdateProfileForm(FlaskForm):
    username = StringField('新用户名', validators=[DataRequired()])
    submit = SubmitField('保存修改')

    def validate_username(self, username_field):
        # 直接用current_user没问题，因为这个方法在请求上下文里执行
        if username_field.data != current_user.username:
            # 检查新用户名是否被其他人占用
            existing_user = User.query.filter_by(username=username_field.data).first()
            if existing_user:
                raise ValidationError("这个用户名已经被别人用啦！")

在视图里调用验证的时候：

@app.route('/profile/update', methods=['GET', 'POST'])
@login_required
def update_profile():
    form = UpdateProfileForm()
    if form.validate_on_submit():
        # 这里current_user也能直接用，更新用户信息
        current_user.username = form.username.data
        db.session.commit()
        return redirect(url_for('profile'))
    return render_template('update_profile.html', form=form)

你观察得非常准确：自定义验证器类确实是在表单定义阶段就被实例化了，这时候还没有任何请求上下文，如果你在验证器的__init__方法里尝试访问current_user，肯定会出问题（比如拿到匿名用户或者直接报错）。

但！重点来了：验证器的核心逻辑是在__call__方法（或者validate方法）里执行的，而这个方法是在请求处理阶段（也就是调用validate_on_submit()的时候）才会被触发，这时候请求上下文已经激活，current_user是完全可用的。

所以正确的做法是：把依赖current_user的逻辑放在验证器的执行方法里，而不是初始化方法里。

举个自定义验证器的例子——验证当前用户是否拥有某个资源：

from wtforms.validators import Validator, ValidationError
from flask_login import current_user
from your_app.models import Resource

class OwnsResourceValidator(Validator):
    def __init__(self, message=None):
        # 这里不要碰current_user！这个方法在表单定义时就跑了，没有请求上下文
        self.message = message or "你没有权限操作这个资源哦"

    def __call__(self, form, field):
        # 这里可以放心用current_user！因为__call__在请求上下文里执行
        resource_id = field.data
        target_resource = Resource.query.get(resource_id)
        if not target_resource or target_resource.owner_id != current_user.id:
            raise ValidationError(self.message)

然后在表单里使用这个验证器：

class ResourceActionForm(FlaskForm):
    resource_id = StringField('资源ID', validators=[DataRequired(), OwnsResourceValidator()])
    submit = SubmitField('执行操作')

总结一下：只要你区分开验证器的「实例化阶段」（无请求，不能用current_user）和「验证执行阶段」（有请求，能用current_user），自定义验证器里完全可以正常使用current_user。

内容的提问来源于stack exchange，提问作者Y. Adam Martin