Flask-Bcrypt默认使用bcrypt加盐哈希，自动处理盐值生成与存储，无需手动管理；调用generate_password_hash()返回内嵌salt和轮数的bytes，存库前需.decode("utf-8")转str，验证时须用check_password_hash()且明文不能为空。
Flask-Bcrypt 默认使用 bcrypt 算法加盐哈希，它会自动处理盐值生成和存储，不需要手动管理 salt 字符串 —— 直接调用 generate_password_hash() 就行，返回的哈希字符串已内嵌 salt 和轮数信息。
初始化 Flask-Bcrypt 实例时必须传入 Flask app
如果在创建 Bcrypt 实例后才初始化 app（比如用工厂模式），得用 init_app()，否则会报 RuntimeError: working outside of application context：
from flask import Flask from flask_bcrypt import Bcrypt <p>app = Flask(<strong>name</strong>) bcrypt = Bcrypt() # 不要在这里传 app bcrypt.init_app(app) # 放这里
- 直接传 app（
Bcrypt(app)）适合单文件简单应用 - 工厂函数中必须用
init_app()，否则generate_password_hash()调用时找不到配置 -
app.config['BCRYPT_LOG_ROUNDS']可设轮数，默认是 12；值越大越慢但越安全，别设低于 10
哈希密码必须用 generate_password_hash()，不能用 hashpw()
Flask-Bcrypt 封装了底层 bcrypt，不暴露原始 hashpw()。误用 py-bcrypt 或 bcrypt 库的原生函数会导致格式不兼容，后续 check_password_hash() 无法验证：
Flask Wrap
下载
火焰围攻 授权: q15040409-creator.功能概述火焰围攻 授权: q15040409-creator.是一项面向实际任务的技能，主要用于Description.；Flask Web. - Python.；核心要点HTTP?；.Version.1.0.tags. wrap.github.automation.。它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。使用与执行使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要
- ✅ 正确：
hashed = bcrypt.generate_password_hash('mypassword')，返回 bytes 类型 - ❌ 错误：
bcrypt.hashpw(b'mypassword', bcrypt.gensalt())—— 这是纯 bcrypt 的写法，Flask-Bcrypt 不认 - ⚠️ 注意：
generate_password_hash()返回的是bytes，存数据库前通常要转成str（如hashed.decode('utf-8')），否则 ORM 可能报类型错误
check_password_hash() 验证时，明文密码不能是 None 或空字符串
这个函数内部会做基础校验，遇到 None、空串或非字符串类型，直接返回 False，不会抛异常 —— 容易让人误以为“密码错了”，实际是输入没过滤干净：
立即学习“Python免费学习笔记（深入）”；
- 常见坑：表单取值用
request.form.get('password')没判空，前端没填就传了None - 建议前置检查：
if not password or not isinstance(password, str): return False -
check_password_hash(hashed, password)中hashed必须是当初generate_password_hash()生成的完整字符串（含$2b$前缀、salt、hash），少一个字符都失败
轮数配置、bytes/str 转换、空值防御这三点，线上出问题时最难排查 —— 因为它们不报错，只静默失败。
