flask 的 redirect() 本身不支持直接向模板传参，正确做法是重定向至带参数的动态路由，再由对应视图函数调用 render_template() 并传入变量。
flask 的 redirect() 本身不支持直接向模板传参，正确做法是重定向至带参数的动态路由，再由对应视图函数调用 render_template() 并传入变量。
在 Flask 开发中，常见误区是试图像 render_template("home.html", username=username) 那样直接通过 redirect() 传递变量——但这是无效的，因为 redirect() 仅发起 HTTP 302 跳转，无法携带上下文数据到目标模板。
✅ 正确方案：将重定向指向一个受控的视图函数（而非静态 HTML 文件），由该函数负责渲染模板并注入变量。
✅ 推荐实现步骤：
-
修改重定向目标为动态路由
将原代码中的：return redirect("/home.html") # ❌ 错误：跳转到静态文件，无法传参替换为：
return redirect(url_for("user_home", username=username)) # ✅ 推荐：使用 url_for 更安全 -
定义接收参数的视图函数
添加新路由处理逻辑：@app.route("/home/<username>") def user_home(username): # 可在此处补充业务逻辑，如查询用户信息、校验权限等 # password 不应明文传递或显示 —— 实际项目中务必避免！ return render_template("home.html", username=username) -
更新模板（确保变量安全使用）
home.html 应仅展示必要信息，且对敏感字段做脱敏处理：{% extends "layout.html" %} {% block body %} <h1>Welcome, {{ username|safe }}!</h1> <!-- ⚠️ 注意：绝不应在前端显示密码！以下仅为示例说明，生产环境必须删除 --> {# {{ password }} ← 严禁出现 #} {% endblock %}
? 重要安全提醒：
- 密码绝不可通过 URL、模板变量或任何前端方式暴露。登录验证后应仅保留用户标识（如 username 或 user_id），并通过 session 或数据库查询获取授权信息。
- 使用 url_for() 替代硬编码 URL，可自动处理 URL 转义与应用配置变更（如 URL 前缀）。
- 若需传递多个参数，可扩展路由规则（如 /home/<username>/<role>）或改用查询参数（/home?user=xxx&token=yyy），但敏感数据仍须走服务端 session 或数据库关联。
✅ 进阶建议（多变量场景）：
若需传递 user_id、role、last_login 等多个字段，推荐统一通过 session 存储关键状态：
from flask import session
# 登录成功后
session["user_id"] = user.id
session["username"] = username
session["role"] = user.role
return redirect(url_for("user_home"))然后在 user_home 中读取：
@app.route("/home")
def user_home():
return render_template("home.html",
username=session.get("username"),
role=session.get("role")
)这种方式更安全、灵活，也符合 Flask 的设计哲学。
