Flask-WTF CSRF防护必须同时满足三要素：服务端生成token、模板显式渲染、提交原样回传；缺一则报“The CSRF token is missing”或400错误，且validate_on_submit()静默返回False。
Flask 默认不带 CSRF 防护，但用 Flask-WTF 实现严谨防御并不难——关键不是“开不开”，而是三件事必须同时做对：服务端生成 token、模板里显式渲染、提交时原样回传。缺一不可，否则必报 The CSRF token is missing. 或 400 Bad Request。
为什么 form.hidden_tag() 有时会失效？
它确实默认包含 csrf_token，但容易被绕过：
- 字段名被手动重写（比如
render_kw={"name": "my_token"}），hidden_tag()就不再识别该字段 - 表单类里显式定义了
csrf_token = StringField(...)，但没设default=generate_csrf，token 值为空 - 用了
Form而非FlaskForm父类，导致自动注入逻辑不触发
最稳做法是单独写 {{ form.csrf_token }}，不依赖 hidden_tag() 的“智能包裹”。
AJAX 提交时 token 怎么传才不会 400？
浏览器不会自动把隐藏字段塞进 JSON 请求体，后端也收不到 request.form —— 这是常见断点。
立即学习“Python免费学习笔记（深入）”；
- 前端必须手动从 DOM 取值：
document.querySelector('input[name="csrf_token"]').value - 发 JSON 请求时，把它加进 payload：
{"username":"a","csrf_token":"abc123..."} - 后端不能只靠
form.validate_on_submit()；要先用request.get_json()拿数据，再手动构造表单：form = LoginForm(MultiDict(request.get_json())) - 确保
SECRET_KEY已配置，且 session backend（如 filesystem、redis）可用，否则generate_csrf()会静默失败
validate_on_submit() 总是返回 False 怎么快速定位？
别急着改逻辑，先查这四点：
- 路由的
methods是否写了['GET', 'POST']？只写['POST']会导致 GET 请求进不来，表单实例化时没 request 上下文 - 模板中
action属性是否指向正确 endpoint？错写成/login/（带尾斜杠）而路由注册的是/login，会 308 重定向并丢掉 POST body 和 token - 是否在视图外提前实例化了表单？比如
form = LoginForm()放在函数体外，此时无 request 上下文，csrf_token字段压根没生成 - 检查浏览器开发者工具 Network 标签页：提交时请求头有没有
Content-Type: application/x-www-form-urlencoded？如果发的是application/json，Flask-WTF 不会从request.json解析 token
CSRF 防御真正容易被忽略的，不是“怎么加 token”，而是 token 生命周期和上下文绑定——它依赖 session 存活、SECRET_KEY 稳定、请求路径与路由注册完全一致。任何一环松动，验证就变成摆设。
