Flask默认不支持JSONP，需手动实现：提取并校验callback参数（如正则匹配^[a-zA-Z_][a-zA-Z0-9_$.]*$），将数据包装为callback({...})，设Content-Type为text/javascript；不可全局拦截，仅限GET接口，现代项目优先用CORS替代。
Flask 默认不支持 JSONP，必须手动实现
Flask 本身没有内置 JSONP 支持，jsonify() 返回的是标准 JSON，浏览器遇到跨域请求时会直接拒绝执行——除非你显式把响应包装成可执行的 JavaScript 函数调用。JSONP 的本质是利用 <script> 标签绕过同源策略，所以服务端必须把数据塞进一个函数调用里返回，且 Content-Type 得设为 text/javascript。
如何安全地提取 callback 参数并构造响应
客户端通常在 URL 中带 callback=xxx 或 jsonp=xxx 参数，但不能无条件信任该值——攻击者可能注入恶意 JS。必须做白名单校验或正则过滤：
- 只允许字母、数字、下划线、点号和括号（如
myCallback、ns.callback），拒绝callback=alert(1)这类 - 用正则
^[a-zA-Z_][a-zA-Z0-9_$.]*$匹配，不匹配就返回 400 错误 - 如果参数缺失，直接返回普通 JSON（或 400），不要 fallback 到默认函数名
示例代码片段：
from flask import Flask, request, Response
import json
app = Flask(__name__)
def make_jsonp(data, callback=None):
if not callback:
return Response(json.dumps(data), mimetype='application/json')
if not re.match(r'^[a-zA-Z_][a-zA-Z0-9_$.]*$', callback):
return Response('Invalid callback name', status=400, mimetype='text/plain')
js = f'{callback}({json.dumps(data)})'
return Response(js, mimetype='text/javascript')
@app.route('/api/data')
def api_data():
data = {'message': 'hello'}
callback = request.args.get('callback') or request.args.get('jsonp')
return make_jsonp(data, callback)
为什么不能用 @after_request 统一加 JSONP 包装
全局拦截容易出错：不是所有接口都支持 JSONP（比如 POST 接口、带认证头的接口），硬套会导致语义混乱或安全风险。更关键的是，@after_request 拿不到原始视图函数的返回值类型——你无法区分这个响应本应是 JSON、HTML 还是文件流，强行包装会破坏二进制响应或重定向逻辑。
立即学习“Python免费学习笔记（深入）”；
- JSONP 只适用于 GET 请求，且仅限简单数据响应
- 每个需要 JSONP 的路由应单独处理 callback 参数，明确意图
- 若项目大量使用，可封装成装饰器，但必须作用于具体视图，而非全局钩子
现代项目里 JSONP 已基本被 CORS 取代
除非你要兼容 IE8/9 或某些老嵌入式环境，否则优先用 flask-cors 配置 CORS 头。JSONP 无法处理 POST、PUT、带 Cookie 的请求，也不支持状态码和错误详情——它只是个历史妥协方案。如果你真要支持 JSONP，务必注意：callback 参数必须来自 query string，不能从 body 或 header 读；响应体不能含 BOM；函数名长度别超浏览器限制（一般几 KB 内安全）。
