在 WTForms 2.x 中，FieldList 无法直接通过 Optional 验证器实现“未提交时为 None、提交空数组时为空列表、提交有效整数时为解析后列表”的语义；需绕过 WTForms 原生机制，改用 request.form 手动解析 JSON 格式字符串并安全求值。
在 wtforms 2.x 中，`fieldlist` 无法直接通过 `optional` 验证器实现“未提交时为 `none`、提交空数组时为空列表、提交有效整数时为解析后列表”的语义；需绕过 wtforms 原生机制，改用 `request.form` 手动解析 json 格式字符串并安全求值。
WTForms 的 FieldList 设计初衷是配合 HTML 表单重复字段（如多个 <input name="patch_bases-0">, patch_bases-1 等）使用，不原生支持以 JSON 数组字符串（如 '[2, 4]'）形式提交的扁平化字段。当你在 curl --form 'patch_bases=[2, 4]' 中传递该字符串时，WTForms 会将其视为单个字符串值，而 IntegerField 子字段无法自动解析该字符串为整数列表——它只会尝试将 '[2, 4]' 转为 int，失败后返回空或默认值，最终 FieldList.data 为空列表，且 Optional 验证器在此上下文中对整个 FieldList 无效（因其作用于字段层级，而非子字段集合的“存在性”逻辑）。
因此，针对 REST API 场景（尤其需同时上传文件 + 传输结构化数据），推荐采用混合验证策略：保留 WTForms 处理文件、字符串等原生表单字段，对 JSON 类型的数组字段则脱离 WTForms，交由 Flask 的 request.form 手动处理。以下是安全、可靠、兼容 WTForms 2.0.2 的实现：
import ast
from flask import request
from wtforms import IntegerField, FileField, StringField, FieldList
from wtforms.validators import DataRequired
from wtforms import FlaskForm
class PublishForm(FlaskForm):
# 其他字段（如文件、字符串）仍由 WTForms 验证
file = FileField('Upload file', validators=[DataRequired()])
title = StringField('Title', validators=[DataRequired()])
def parse_patch_bases():
"""安全解析 patch_bases 字段：None / [] / [int, ...]"""
raw = request.form.get('patch_bases')
if raw is None:
return None # 字段未提交
try:
# 使用 ast.literal_eval 替代 json.loads，避免执行任意代码，且支持单引号/无引号（更兼容表单）
parsed = ast.literal_eval(raw.strip())
if not isinstance(parsed, list):
raise ValueError("Not a list")
if not all(isinstance(x, (int, float)) for x in parsed):
raise ValueError("Contains non-numeric values")
# 转为 int 并校验范围
result = [int(x) for x in parsed]
if len(result) > 5:
raise ValueError("Too many items (max 5)")
return result
except (ValueError, SyntaxError, OverflowError) as e:
raise ValueError(f"Invalid patch_bases format: {e}")
# 在视图中使用
@app.route('/api/v3/publish', methods=['POST'])
def publish():
form = PublishForm()
if not form.validate_on_submit():
return form_error_response(form.errors)
try:
patch_bases = parse_patch_bases()
except ValueError as e:
return form_error_response({'patch_bases': [str(e)]})
# 此时 patch_bases 是：None、[] 或 [2, 4] 等合法整数列表
print("Parsed patch_bases:", patch_bases)
# ... 后续业务逻辑⚠️ 关键注意事项：
-
绝不使用
eval()：ast.literal_eval()仅允许基本字面量（list,int,float,str,None,True,False），杜绝代码注入风险； -
字段命名一致性：确保
curl --form 'patch_bases=[2,4]'中的键名与request.form.get('patch_bases')完全匹配（区分大小写）； -
类型强转与校验：显式
int(x)转换可捕获浮点数（如2.0）或字符串数字（如'4'），并统一为int；后续应补充业务逻辑校验（如非负、唯一性等）； -
兼容旧版 WTForms：此方案不依赖 WTForms 3.x+ 的新特性（如
JSONField），完美适配 2.0.2； -
文档建议：WTForms 官方文档明确指出其面向传统 Web 表单，REST API 的复杂负载建议结合
request.get_json()（JSON Content-Type）或request.form（multipart/form-data）手动解析——这才是符合设计哲学的解法。
综上，放弃让 FieldList “强行适配 JSON 数组”是合理选择；拥抱分层职责（WTForms 处理原子字段，Flask 处理结构化载荷），才能写出健壮、可维护的 API 表单逻辑。
