Flask默认session基于客户端签名Cookie，不连Redis则数据永不写入Redis；必须用Flask-Session扩展替换原生接口，配置SESSION_TYPE="redis"、SESSION_REDIS（连接池）、SECRET_KEY（固定字符串）、SESSION_USE_SIGNER=True，并调用Session(app)初始化，否则redis-cli keys "session:*"为空且多实例无法共享。
Flask 默认 session 是客户端 Cookie 加密存储，不连 Redis 就永远存不到 Redis 里——你得用 flask-session 替换掉原生 session 接口，否则所有数据还在浏览器里，redis-cli keys "session:*" 必然为空。
为什么 session.save() 报错或没反应
原生 Flask 根本没有 session.save() 这个方法。它是 flask-session 扩展提供的，直接调会触发 AttributeError。更关键的是：没启用扩展前，session 对象类型是 werkzeug.datastructures.ImmutableMultiDict；启用后应为 flask_session.sessions.RedisSessionInterface 实例。验证方式很简单：print(type(session))。
必须设对的四个核心配置项
漏一个都可能导致 session 写不进 Redis 或多实例间失效：
-
app.config["SESSION_TYPE"] = "redis"：不设这个，扩展压根不走 Redis 后端 -
app.config["SESSION_REDIS"]要传redis.Redis实例（推荐用redis.ConnectionPool），不能传字符串地址 -
app.config["SECRET_KEY"]必须是固定字符串（如从环境变量读），禁止用os.urandom(24)动态生成，否则重启后旧 session 全丢 -
app.config["SESSION_USE_SIGNER"] = True：不开启签名，session_id 可被伪造，生产环境必须开
Redis 连接和序列化常见陷阱
这些细节不处理，轻则 key 不过期、内存暴涨，重则反序列化失败、session 读不出来：
立即学习“Python免费学习笔记（深入）”；
- 连接池必须复用：
redis.ConnectionPool(host="127.0.0.1", port=6379, max_connections=20)，别每次新建redis.Redis()，否则 fd 很快耗尽 -
decode_responses=True会导致解包失败，必须保持默认False - 多实例部署时，务必显式设置
SESSION_COOKIE_DOMAIN = ".example.com"（注意开头的点），否则www.example.com和api.example.com无法共享 cookie - HTTPS 场景下，Nginx 终止 SSL 时，要同时设
SESSION_COOKIE_SECURE = True并确保 Nginx 透传X-Forwarded-Proto: https
Session 过期时间到底怎么控制
不是 Redis 自动清理，而是由 flask-session 发送 EXPIRE 指令决定：
-
SESSION_PERMANENT = False（默认）：每次请求都会刷新 TTL，依赖PERMANENT_SESSION_LIFETIME（如timedelta(minutes=30)） -
SESSION_PERMANENT = True：过期时间固定，且必须显式设置PERMANENT_SESSION_LIFETIME，否则按 Flask 默认的 31 天算 - 检查是否生效：
redis-cli ttl "session:xxx"返回正数才对；返回-1说明根本没设过期
最常被跳过的其实是初始化顺序和 Cookie 属性匹配——Session(app) 必须在所有路由注册之后、app.run() 之前调用；而 SESSION_COOKIE_SECURE 和实际网络层是否 HTTPS 必须严格一致，差一点，浏览器就拒发 cookie。
