1. 什麼是會話管理？¶
在日常生活中，我們打開瀏覽器訪問網站時，輸入賬號密碼登錄後，即使關閉瀏覽器再重新打開，仍然能保持登錄狀態（比如購物網站的購物車、視頻網站的會員信息），這就是會話管理在起作用。簡單來說，會話管理就是維護用戶在一次訪問過程（或多次訪問過程）中的狀態信息，讓服務器能識別“這是同一個用戶”。
2. Flask中的會話管理基礎¶
Flask提供了內置的session對象來處理會話管理，它基於Cookie實現（將用戶狀態加密存儲在瀏覽器的Cookie中）。使用session需要兩個關鍵步驟：
2.1 引入session並設置密鑰¶
首先，導入Flask的session模塊，並在Flask應用中設置一個密鑰（SECRET_KEY）。密鑰是加密會話數據的關鍵，必須設置且不能泄露（生產環境需用安全的隨機字符串）。
from flask import Flask, session, request, redirect, url_for, render_template, flash
from datetime import timedelta # 用於設置會話有效期
app = Flask(__name__)
# 設置密鑰（必須，用於加密會話數據）
app.secret_key = "your_secret_key_here" # 生產環境需更換爲隨機字符串（如 os.urandom(24)）
2.2 會話的有效期¶
默認情況下，會話會在瀏覽器關閉時自動失效。如果想讓會話“持久化”（比如保持登錄狀態直到用戶主動登出），可以通過設置permanent_session_lifetime延長有效期。
# 設置會話有效期爲1天（默認是臨時會話，瀏覽器關閉即失效）
app.permanent_session_lifetime = timedelta(days=1)
3. 實現用戶登錄狀態持久化¶
下面通過一個完整的“登錄-驗證-登出”流程，演示如何用Flask管理用戶登錄狀態。
3.1 步驟1：創建登錄頁面（前端）¶
先寫一個簡單的登錄表單（login.html），讓用戶輸入賬號密碼：
<!-- templates/login.html -->
<!DOCTYPE html>
<html>
<head>
<title>登錄</title>
</head>
<body>
<h1>用戶登錄</h1>
<!-- 顯示錯誤消息（如果有） -->
{% with messages = get_flashed_messages() %}
{% if messages %}
<div style="color: red;">{{ messages[0] }}</div>
{% endif %}
{% endwith %}
<form method="post">
<div>
<label>用戶名：</label>
<input type="text" name="username" required>
</div>
<div>
<label>密碼：</label>
<input type="password" name="password" required>
</div>
<button type="submit">登錄</button>
</form>
</body>
</html>
3.2 步驟2：編寫登錄驗證邏輯（後端）¶
後端需要處理登錄請求，驗證用戶信息，並在驗證成功後設置會話數據。這裏先用硬編碼用戶演示（實際項目需對接數據庫）：
# 硬編碼測試用戶（實際應替換爲數據庫查詢）
VALID_USER = {"username": "admin", "password": "admin123"}
@app.route('/login', methods=['GET', 'POST'])
def login():
# 如果用戶已登錄，直接跳轉到首頁（避免重複登錄）
if "username" in session:
return redirect(url_for("index"))
if request.method == "POST":
# 獲取前端表單數據
username = request.form.get("username")
password = request.form.get("password")
# 驗證用戶（這裏用硬編碼示例，實際需查詢數據庫）
if username == VALID_USER["username"] and password == VALID_USER["password"]:
# 設置會話數據（僅關鍵信息，如用戶名）
session["username"] = username
# 標記爲“永久會話”（配合app.permanent_session_lifetime生效）
session.permanent = True
return redirect(url_for("index")) # 登錄成功跳轉到首頁
else:
flash("用戶名或密碼錯誤") # 顯示錯誤消息
# 渲染登錄頁面
return render_template("login.html")
3.3 步驟3：驗證用戶登錄狀態（中間件）¶
在需要用戶登錄的頁面（如首頁），需要檢查會話中是否有username，否則重定向到登錄頁。可以通過裝飾器簡化驗證邏輯：
from functools import wraps
# 自定義裝飾器：檢查用戶是否登錄
def login_required(f):
@wraps(f)
def decorated_function(*args, **kwargs):
if "username" not in session:
return redirect(url_for("login")) # 未登錄則跳轉到登錄頁
return f(*args, **kwargs)
return decorated_function
# 首頁路由：需登錄才能訪問
@app.route("/")
@login_required # 使用裝飾器驗證登錄狀態
def index():
return f"歡迎回來，{session['username']}！" # 顯示登錄用戶名
3.4 步驟4：實現登出功能¶
登出時需要清除會話數據，終止用戶的登錄狀態：
@app.route("/logout")
def logout():
session.pop("username", None) # 移除會話中的用戶名（鍵不存在時無影響）
return redirect(url_for("login")) # 登出後跳轉到登錄頁
4. 會話的安全與優化¶
- 安全提示：
- 密鑰（SECRET_KEY）需保密，不能硬編碼在代碼中（生產環境可用環境變量
os.getenv("SECRET_KEY")）。 -
會話數據僅存儲必要信息（如用戶ID），避免敏感數據（如密碼）。
-
持久化會話有效期：
通過app.permanent_session_lifetime設置會話有效期（默認1小時），需在login中設置session.permanent = True配合使用：
app.permanent_session_lifetime = timedelta(days=1) # 會話有效期1天
5. 總結¶
Flask會話管理通過session對象實現，核心流程是：
1. 設置密鑰（SECRET_KEY）加密會話數據；
2. 登錄時通過session["username"] = ...存儲用戶狀態；
3. 使用裝飾器檢查會話狀態，確保只有登錄用戶能訪問敏感頁面；
4. 登出時通過session.pop(...)清除狀態。
通過以上步驟，即可實現用戶登錄狀態的持久化管理，讓用戶無需重複登錄即可在網站內瀏覽。