Streamlit 中表单提交会触发整个脚本重运行，导致 st.session_state 以外的局部变量丢失、条件逻辑中断；本文详解如何通过重构代码结构、合理利用会话状态与表单生命周期，彻底解决 MFA 激活流程中“部分代码不执行”的典型问题。
streamlit 中表单提交会触发整个脚本重运行，导致 `st.session_state` 以外的局部变量丢失、条件逻辑中断；本文详解如何通过重构代码结构、合理利用会话状态与表单生命周期，彻底解决 mfa 激活流程中“部分代码不执行”的典型问题。
在 Streamlit 应用中，表单（st.form）的提交行为具有严格的生命周期约束：一旦点击 st.form_submit_button，Streamlit 会立即重运行当前脚本（或所在模块），并重置所有非 st.session_state 管理的变量作用域。这正是你遇到问题的根本原因——尽管 EnableMFA 在表单内被输入，但 if len(EnableMFA) >= 0: 这段验证逻辑位于表单外部且依赖局部变量，而表单提交后脚本重跑，EnableMFA 作为局部变量被重新初始化为空字符串（""），导致后续 otp.validate_otp(...) 等关键逻辑永远无法执行。
更关键的是，你将 st.text_input 放在表单内却未将其值持久化到 st.session_state，同时又在表单外直接引用该变量——这违反了 Streamlit 的状态管理范式。
✅ 正确做法是：完全移除表单对核心流程的包裹，改用 st.session_state 驱动状态流转，并用按钮显式控制步骤推进。以下是优化后的 activate_mfa 函数实现：
def activate_mfa(login):
# 初始化密钥和 QR 数据（仅首次运行）
if 'sec_key' not in st.session_state:
st.session_state.sec_key = otp.generate_secret()
st.session_state.data = f'otpauth://totp/{login}?secret={st.session_state.sec_key}&issuer=timetracker'
st.write("MFA activation is required. Please scan the QR code with your Authenticator app.")
col1, col2, col3 = st.columns([.25, .5, .25])
with col2:
img = qr.create_qr_code(data=st.session_state.data)
st.image(img)
# 第一步：输入 OTP（使用 state 绑定，避免表单重置）
if 'mfa_code_submitted' not in st.session_state:
EnableMFA = st.text_input("Enter OTP code from your app", key="k_enablemfacode")
if st.button("Validate & Activate MFA"):
if EnableMFA.strip():
st.session_state.mfa_code = EnableMFA.strip()
st.session_state.mfa_code_submitted = True
st.rerun() # 主动触发重跑以进入验证阶段
else:
st.warning("Please enter a valid OTP code.")
# 第二步：OTP 验证与激活（仅在提交后执行）
if st.session_state.get('mfa_code_submitted', False):
st.write(f"Key → {st.session_state.sec_key} | Data → {st.session_state.data} | OTP → {st.session_state.mfa_code}")
st.write("Validating OTP...")
otp_valid = otp.validate_otp(st.session_state.mfa_code, st.session_state.sec_key)
if otp_valid:
st.session_state.MFAStatus = "Active"
try:
session = db.db_connect()
secure_mfakey = db.ed(st.session_state.sec_key, 'encode')
stmt = update(db.Users).where(db.Users.Login == login).values(MFAStatus=secure_mfakey)
session.execute(stmt)
session.commit()
st.success("✅ MFA activated successfully!")
# 可选：自动跳转至主界面
st.session_state.page = "main" # 假设你有页面路由逻辑
st.rerun()
except Exception as e:
st.error(f"❌ Error activating MFA: {str(e)}")
session.rollback()
finally:
session.close()
else:
st.error("❌ Invalid MFA code. Please try again.")
# 重置状态，允许重新输入
del st.session_state.mfa_code_submitted
if 'mfa_code' in st.session_state:
del st.session_state.mfa_code
st.rerun()? 关键改进点说明：
-
弃用
st.form：避免隐式重跑打断逻辑流；改用带明确状态标记（如mfa_code_submitted）的分步控制； -
强制状态持久化：所有中间值（如
mfa_code）均存入st.session_state，确保跨重跑可用； -
显式
st.rerun()控制流程：在用户动作后主动刷新，使 UI 同步进入下一阶段，而非依赖表单的“黑盒”行为； - 防御性清理：验证失败时清除相关 state，防止残留状态干扰后续操作；
-
语义化状态键名：如
mfa_code_submitted比布尔变量submitted更易维护和调试。
⚠️ 注意事项：
- 不要在
st.form内部定义需跨重跑保留的逻辑分支； - 所有用户输入必须通过
key参数绑定到st.session_state，或显式赋值给 state； - 若应用含多页路由，请确保
st.session_state在页面切换中持续存在（默认即满足）； - 调试时可添加
st.write(st.session_state)查看实时状态快照。
通过以上重构，MFA 激活流程将完全可控、可预测，不再出现“代码跳过执行”或“按钮失活”等现象——这不仅是修复 Bug，更是践行 Streamlit “状态驱动 UI” 设计哲学的正确实践。
