Flask 基础概念图解

动手做在 Flask 里安装 Flask-Cors，然后在创建 app 时注册：

from flask import Flask
from flask_cors import CORS

app = Flask(__name__)
CORS(app, resources={r"/api/*": {"origins": ["http://localhost:5173", "http://localhost:5000"]}})

这样，前端只要从 5173 或 5000 发 /api/* 请求，响应头里就会带上 Access-Control-Allow-Origin: http://localhost:5173，浏览器就放行。

动手做Flask 里设置一个 Cookie：

from flask import make_response

@app.route("/set")
def set_cookie():
    resp = make_response({"msg": "已发卡"})
    # key, value, max_age 秒
    resp.set_cookie("user_id", "9527", max_age=3600, httponly=True)
    return resp

浏览器收到响应后，会自动把 user_id=9527 存起来。以后每次请求同一域名，请求头里都会自动带上 Cookie: user_id=9527，Flask 里用 request.cookies.get("user_id") 就能读到。

动手做Flask 自带 Session（基于 Cookie + 服务端签名）：

from flask import Flask, session

app = Flask(__name__)
app.secret_key = "你的随机密钥"   # 用于给 session cookie 签名

@app.route("/login")
def login():
    session["user_id"] = 9527
    return {"msg": "已存柜"}

@app.route("/me")
def me():
    return {"user_id": session.get("user_id")}

这里 Flask 实际做了两件事：① 在浏览器 Cookie 里放一个加密的 session_id；② 默认把 Session 数据也编码进 Cookie（Flask 客户端 session），服务端不额外存。如果换成 RedisSession 插件，数据才真正存在服务器端的 Redis 里。

动手做用 PyJWT 签发与校验：

import jwt, datetime
from flask import request

SECRET = "你的长随机密钥"

# 登录成功后签发 token
def make_token(user_id):
    payload = {
        "user_id": user_id,
        "exp": datetime.datetime.utcnow() + datetime.timedelta(hours=24)
    }
    return jwt.encode(payload, SECRET, algorithm="HS256")

# 每次请求时校验
def verify_token():
    token = request.headers.get("Authorization", "").replace("Bearer ", "")
    try:
        return jwt.decode(token, SECRET, algorithms=["HS256"])
    except jwt.ExpiredSignatureError:
        return None   # 票过期了
    except jwt.InvalidTokenError:
        return None   # 假票

前端拿到 token 后，每次发请求都在请求头里带上 Authorization: Bearer <token>。Flask 验签即可，不用查数据库。