Flask-Login授权问题：如何实现用户每次访问站点都需重新登录？

你已经尝试在login_user()里设remember=False但没生效，大概率是这几个隐藏原因，咱们一步步排查解决：

1. 清除浏览器残留的Remember Cookie #

如果之前你用过remember=True登录，浏览器里可能还存着持久化的remember cookie——它会自动帮用户维持登录状态，哪怕现在你设了remember=False也没用。

解决方式：

• 手动清除当前站点的所有Cookie（在浏览器设置里找到对应站点，删除Cookie）
• 或者在代码里主动清除旧的remember cookie，比如登录前先执行登出：

  from flask_login import login_user, logout_user
  
  # 登录前先清空旧状态
  logout_user()
  login_user(target_user, remember=False)
  

2. 检查Flask Session的持久化配置 #

Flask的Session默认是浏览器会话级（关闭浏览器就失效），但如果代码里不小心设置了session.permanent = True，或者配置了SESSION_PERMANENT = True，Session会变成持久化的（默认有效期31天），这就会导致用户关闭浏览器再打开依然保持登录。

解决方式：

• 确保代码中没有在登录视图或其他地方设置session.permanent = True
• 在Flask配置里明确禁用持久化Session：

  app.config['SESSION_PERMANENT'] = False
  # 可选：如果想限制更严格，比如Session1分钟后失效
  # from datetime import timedelta
  # app.config['PERMANENT_SESSION_LIFETIME'] = timedelta(minutes=1)
  

3. 强制每次请求都验证登录（可选，更严格的场景） #

如果你希望哪怕浏览器没关闭，用户刷新页面/打开新标签都得重新登录（比浏览器会话限制更严格），可以给需要登录的路由加额外校验：

示例代码：

from flask import session, redirect, url_for
from flask_login import login_required, current_user, logout_user

@app.route('/protected-page')
@login_required
def protected_page():
    # 检查是否是本次登录的有效请求
    if not session.get('is_fresh_login'):
        logout_user()
        return redirect(url_for('login'))
    # 清除标记，下次访问需要重新登录
    session.pop('is_fresh_login', None)
    return "仅本次登录可访问的内容"

# 登录视图
@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'POST':
        # 验证用户逻辑...
        login_user(target_user, remember=False)
        # 设置本次登录的临时标记
        session['is_fresh_login'] = True
        return redirect(url_for('protected_page'))
    return render_template('login.html')

4. 检查Flask-Login的额外配置 #

确认没有开启自动登录相关的配置：

• 不要设置REMEMBER_COOKIE_REFRESH_EACH_REQUEST = True（虽然remember=False时影响不大，但仍需确认）
• 确保USER_ID_SESSION_KEY配置正常，没有被意外篡改

测试的时候建议用浏览器隐私模式打开，避免旧Cookie干扰测试结果。

内容的提问来源于stack exchange，提问作者袚芯褉芯卸邪薪懈薪 袧懈泻懈褌邪