直接用 Flask 原生路由 + jsonify 即可构建规范 RESTful API，无需已停维护的 Flask-RESTful；应遵循“资源即 URL”原则，如 /users 和 /users/，按 HTTP 方法区分操作，禁用动作式路径；参数解析须显式调用 request.get_json() 并手动校验；统一响应格式需自定义 api_response 函数。
直接用 Flask 原生路由 + jsonify 就能快速搭出符合规范的 RESTful API，不需要 Flask-RESTful——它已停止维护，且在 Flask 2.3+ 和 Werkzeug 2.3+ 下容易触发 BadRequestKeyError 或 I/O operation on closed file 错误。
用原生路由定义资源路径和 HTTP 方法
RESTful 的核心是“资源即 URL”，不是动词拼接。比如用户资源统一用 /users 和 /users/<user_id></user_id>，靠方法区分行为：
-
GET /users→ 返回用户列表，状态码200 -
POST /users→ 创建用户，成功返回新对象 +201 -
GET /users/<user_id></user_id>→ 单个用户，不存在时返回404 -
PUT /users/<user_id></user_id>→ 全量更新，要求客户端传完整字段 -
DELETE /users/<user_id></user_id>→ 删除，成功返回空响应 +204
不要写 /getUserById 或 /deleteUser 这类动作式路径——它破坏资源抽象，后期难维护、难文档化、前端调用易混淆。
参数解析必须显式用 request.get_json()，别碰 reqparse
Flask-RESTful 的 reqparse 模块默认尝试从 form 和 json 两个位置读取，但现代 API 几乎只收 JSON；不指定 location='json' 就会因 Content-Type 不匹配或空体直接抛 400，且错误信息不明确。
立即学习“Python免费学习笔记（深入）”；
更稳妥的做法是：
- 统一用
request.get_json(silent=True)或request.get_json(force=True)（后者跳过 MIME 类型检查） - 手动校验字段是否存在、类型是否合法，比如：
if not data or 'name' not in data: - 避免混用
request.json和reqparse.parse_args()——前者会提前读取并关闭请求流，导致后者报I/O operation on closed file
示例片段：
@app.route('/users', methods=['POST'])
def create_user():
data = request.get_json(silent=True)
if not data or not isinstance(data, dict):
return jsonify({'error': 'Invalid JSON'}), 400
if 'name' not in data or not isinstance(data['name'], str):
return jsonify({'error': 'Missing or invalid name'}), 400
# ... 创建逻辑
return jsonify(new_user), 201
统一响应格式和错误处理要自己控制，别依赖框架自动返回
Flask 默认的 404/500 页面是 HTML，jsonify 又不自动带状态语义，前端很难做一致判断。建议封装一个响应函数：
def api_response(data=None, message='', status=200):
success = 200 <= status < 300
return jsonify({
'success': success,
'data': data,
'message': message,
'code': status
}), status
然后所有接口都走这个出口，包括错误分支：
- 查不到用户 →
api_response(message='User not found', status=404) - 数据库异常 →
api_response(message='Internal error', status=500) - 参数校验失败 →
api_response(message='Name is required', status=400)
注意：不要用 abort(404) 或全局 @app.errorhandler 替代——它们无法携带自定义字段，且容易绕过你的统一结构。
开发期用 debug=True，但上线前必须关掉
app.run(debug=True) 会启用 Werkzeug 的交互式调试器，暴露完整 traceback，线上等于把源码和环境变量直接送给攻击者。
正确做法是：
- 开发时用
FLASK_ENV=development flask run（Flask 2.0+ 推荐方式） - 生产部署用 WSGI 服务器（如 Gunicorn + Nginx），禁用
debug和use_reloader - 通过配置文件区分环境，比如
config.py中定义DEBUG = os.getenv('FLASK_DEBUG', 'false').lower() == 'true'
另外，debug=True 会忽略某些异常捕获逻辑，导致本地能跑通、线上直接 500，这点很容易被忽略。
