JSON Schema 与 Python 后端联动校验需预编译 validator、扁平化错误、严格对齐字段名；动态字段存入 JSONB/JSON 字段，禁用外部 $ref，用 additionalProperties 或 patternProperties 控制字段自由度。
JSON Schema 怎么和 Python 后端联动做字段校验
直接用 jsonschema 库验证前端传来的 JSON 表单，比手写 if-else 判空或正则靠谱得多，也比 Django Form 或 Pydantic 模型更轻量、更贴合“动态字段”场景。
关键不是“能不能用”，而是怎么让 Schema 的定义、校验、错误提示三者对齐——尤其当 Schema 本身是运行时从数据库读出来的。
- Schema 必须预编译：每次请求都调
validate(instance, schema)会反复解析，用jsonschema.Draft202012Validator(schema)编译一次复用 - 错误信息要扁平化：默认的
validator.iter_errors()返回嵌套结构，前端难消费，建议用jsonschema.exceptions.best_match()或手动遍历errors提取message和absolute_path - 字段名映射要小心：Schema 里的
properties.name对应的是 JSON 键名，不是 Django Model 字段名或数据库列名；如果前端传{"user_name": "a"}，Schema 就得写"user_name"，不能假设它自动转成user_name → user_name
前端 JSON 表单字段怎么存进数据库又不破坏灵活性
别把整个 JSON 当字符串塞进一个 TEXT 字段就完事。表面省事，后面查字段、加索引、做统计全抓瞎。
推荐方案：核心字段单独建列（如 status、created_at），动态字段统一收进一个 JSONB（PostgreSQL）或 JSON（MySQL 5.7+）字段，比如叫 form_data。
立即学习“Python免费学习笔记（深入）”；
- PostgreSQL 用户务必用
JSONB：支持索引（CREATE INDEX ON forms USING GIN (form_data)）、路径查询（form_data -> 'email'）、去重合并 - 避免在
form_data里塞二进制或大文件 Base64：体积膨胀、拖慢查询、触发 DB 连接超时；上传文件走独立对象存储，只存 URL - 如果 ORM 是 SQLAlchemy，读写
form_data时直接当 dict 用，不用额外序列化；但注意None值在 JSON 中是null，PythonNone会被自动转过去，无需手动处理
为什么 Pydantic V2 的 model_validate_json() 不适合动态表单
它要求模型结构在导入时就固定，而动态表单的字段是运行时决定的——今天有 phone，明天可能加 wechat_id，Pydantic 模型没法热更新。
硬套会导致两个麻烦：要么每改一次 Schema 就 reload 服务，要么写一堆 if field == "xxx": model = XxxModel 分支，维护成本爆炸。
- 真正该用的地方是「固定接口」，比如用户登录、支付回调这些契约明确的 endpoint
- 动态表单优先选
jsonschema+ 手动构造 validator 实例，配合缓存（LRU 或 Redis 存编译后的 validator） - 如果非要用 Pydantic，至少用
BaseModel.model_construct()绕过验证，再自己调jsonschema校验，别依赖model_validate_json()的内置逻辑
前端传来的 JSON 怎么防篡改又保持字段自由度
后端不能无条件信任 form_data 里的任意键名。攻击者可能塞 {"__proto__": {}, "constructor": {}} 或超长字符串触发 OOM。
重点不在“过滤字段名”，而在“限制字段行为”：
- 用
jsonschema的additionalProperties: false关死未声明字段（但注意：这要求 Schema 明确列出所有允许字段，适合字段相对稳定的场景） - 如果必须支持未知字段（比如用户自定义标签），就加白名单前缀，例如只允许
custom_*开头的 key，并在 Schema 里用patternProperties约束其类型 - 对值做长度/深度限制：用
maxProperties控制对象键数量，maxLength限制字符串，maxItems限制数组大小；这些参数在 JSON Schema 里写死，比后端代码拦截更早、更稳
最常被忽略的一点：JSON Schema 的 $ref 如果指向外部 URL 或本地文件路径，线上环境必须禁用——否则可能触发 SSRF 或读取敏感配置文件。用 RefResolver 手动控制引用来源，或直接把所有 $ref 展开为内联 Schema。
