跨Flask应用调用session删除接口时session为空的问题求助

问题描述 #

我有两个用Flask启动的应用，app1跑在5000端口，app2跑在5001端口。用户session里存了username键，在app1中通过http://localhost:5000/delete_session的GET请求可以正常删除session，但通过app2的/logout接口调用app1的POST /delete_session时，app1那边的session是空的，无法完成删除操作。

相关代码如下：

app1 代码

from flask import Flask, session

app1 = Flask(__name__)
app1.secret_key = 'your-secret-key'  # 实际代码已设置秘钥

@app1.get('/delete_session')
def delete_session():
    print(session.keys())  # 直接访问时输出: dict_keys(['username'])
    if "username" in session.keys():
        session.pop("username")
    return "Session clear"

@app1.post('/delete_session')
def delete_session_by_post():
    print(session.keys())  # 被app2调用时输出: dict_keys([])
    if "username" in session.keys():
        session.pop("username")
    return "Session clear"

app2 代码

import requests
from flask import Flask

app2 = Flask(__name__)

@app2.get('/logout')
def logout():
    requests.post(url='http://localhost:5000/delete_session')

我的回答 #

嘿，这个问题我之前踩过坑，核心原因其实很好理解：Flask的Session是靠浏览器Cookie来识别用户的，而你用requests.post发起的请求是从app2服务器端发出的，根本没携带用户浏览器里存的app1的Session Cookie。

具体拆解下：

• 当用户直接在浏览器访问app1的/delete_session时，浏览器会自动带上app1之前设置的Session Cookie，所以app1能精准匹配到这个用户的Session，自然能读到username。
• 但用户访问app2的/logout时，app2服务器用requests.post调用app1的接口，这是服务器和服务器之间的请求，和用户的浏览器Cookie完全没关系，app1收到的是一个全新的、无身份的请求，当然找不到对应的Session数据。

给你两个实用的解决思路：

方案1：传递用户的Cookie到跨应用请求（局限性较大）

在app2的/logout接口里，把当前请求中用户的Cookie（如果包含app1的Session Cookie）传递给requests.post：

from flask import request

@app2.get('/logout')
def logout():
    # 把用户浏览器的Cookie转发给app1的请求
    cookies = request.cookies
    requests.post(url='http://localhost:5000/delete_session', cookies=cookies)
    return "Logout success"

⚠️ 注意：这个方案有个前提——两个app的Cookie在浏览器中是可共享的，但localhost不同端口的Cookie默认是隔离的，所以这个方案大概率只能在特定场景下生效。

方案2：使用共享Session存储（长期最优解）

让两个Flask应用共享同一个Session存储（比如Redis、数据库），这样不管用户访问哪个app，Session数据都是统一的，根本不需要跨应用调用接口。

举个用Redis共享Session的例子：

1. 先安装依赖：pip install flask-session redis
2. 给两个app配置Session使用Redis（两边配置要一致）：

# app1和app2都需要添加这段配置
from flask_session import Session
import redis

# 配置Session存储为Redis
app.config['SESSION_TYPE'] = 'redis'
app.config['SESSION_REDIS'] = redis.Redis(host='localhost', port=6379)
# 两个app必须用相同的secret_key
app.secret_key = 'same-secret-key-for-both-apps'
# 初始化Session
Session(app)

配置完成后，app2的/logout接口直接删除Session即可，不需要再调用app1的接口：

from flask import session

@app2.get('/logout')
def logout():
    if "username" in session:
        session.pop("username")
    return "Logout success"

这样就能彻底解决跨应用Session不同步的问题啦！

备注：内容来源于stack exchange，提问作者haojie