Flask-Login不能直接用session['user_id']判断登录，因其依赖加密签名的session管理及user_loader回调；手动设user_id不触发认证钩子，导致current_user为匿名对象且@login_required失效。
Flask-Login 为什么不能直接用 session['user_id'] 做登录判断？
因为 Flask-Login 的核心设计是把用户状态和 Flask 的 session 解耦，它用 login_user() 把用户对象写入 session 是经过加密签名的，且只存 _user_id 和 _fresh 等有限字段；手动塞 session['user_id'] = 123 不会触发 Flask-Login 的认证钩子，current_user 会是匿名对象，@login_required 也会放行失败。
正确做法是让 Flask-Login 全权管理 session 写入：
- 用户登录成功后，必须调用
login_user(user_obj)，其中user_obj必须实现is_authenticated、is_active、get_id()（或继承UserMixin） - 不要在视图里手动修改
session字典来“模拟登录” -
login_user()默认设置remember=False，关闭浏览器后 session 失效；如需记住我功能，需配合remember=True和REMEMBER_COOKIE_HTTPONLY=True配置
如何配置 login_manager.login_view 和处理未登录跳转？
Flask-Login 检测到未登录用户访问 @login_required 视图时，会重定向到 login_manager.login_view 指定的端点，并附上 next 参数。这个跳转逻辑不是自动发生的——你得显式初始化并注册回调：
- 必须在创建
LoginManager实例后，立刻赋值login_manager.login_view = 'auth.login'（字符串为蓝图端点名） - 如果登录页在蓝图中，确保该蓝图已注册，且端点名拼写完全一致（包括前缀）
- 登录视图函数里要手动读取
request.args.get('next')，校验后重定向，否则用户登录后会回到首页而非原请求页 - 校验
next参数很重要：防止开放重定向漏洞，建议用url_parse(next_url).netloc == ''判断是否为站内路径
为什么 current_user.is_authenticated 总是 False？常见原因有哪些？
这不是代码写错了，而是底层 session 或用户对象没对齐。最常踩的坑有这几个：
立即学习“Python免费学习笔记（深入）”；
-
user_loader回调函数没注册，或返回None：必须用@login_manager.user_loader装饰一个函数，接收user_id字符串，查库返回对应用户对象（不能返回 dict 或 tuple） - 用户模型没实现
get_id()方法，或返回值不是字符串：Flask-Login 要求get_id()返回 str 类型 ID，数据库主键是 int 的话得显式str(self.id) - Flask secret_key 未设置：session 签名失效会导致每次请求都新建匿名用户，务必在 app 初始化时设
app.secret_key = 'your-secret-key-here' - 使用了多个 Flask app 实例（如测试环境），但
LoginManager没绑定到当前 app：检查login_manager.init_app(app)是否在正确实例上调用
remember me 功能开启后，用户登出为什么还留在系统里？
这是因为 logout_user() 只清除 session 中的登录标记，但 remember token 还在客户端 cookie 里。下次请求时，Flask-Login 会尝试用该 token 自动重建登录态——前提是你的 user_loader 能正常解码并返回用户，且没禁用 remember 支持。
要彻底退出，必须同时做两件事：
- 调用
logout_user()清除当前 session - 在登出后，显式删除 remember cookie：
response = make_response(redirect(url_for('index'))); response.set_cookie('remember_token', '', expires=0) - 更稳妥的做法是，在
user_loader回调里增加 token 有效性检查（比如比对最后登录时间、设备指纹等），而不仅是查 ID
另外注意：Flask-Login 默认的 remember token 是基于用户 ID + password hash + secret_key 生成的，如果用户改密没主动使 token 失效，旧 remember cookie 仍可能生效——这点容易被忽略。
