Flask-login：如果login_manager的session_protection设置为“strong”，请记住我不工作

我正在使用 Flask-login 将会话管理集成到我的 Flask 应用程序中。但是如果我设置了“记住我”功能就不起作用会话保护 to strong，但是，如果设置为，它绝对可以正常工作basic.

用户加载器：

@login_manager.user_loader
def load_user(email):
    user = get_user_with_email(email)
    if user:
        return User(user.id, user.email, user.role_id, user.createtime, user.updatetime)

从数据库中获取用户：

from psycopg2.extras import NamedTupleCursor

def get_user_with_email(email):
    cursor = get_db().cursor(cursor_factory=NamedTupleCursor)
    cursor.execute('SELECT * FROM users WHERE email = %s', (email,))
    return cursor.fetchone()

和我的用户类别：

class User(UserMixin):
    def __init__(self, username, email, role_id, createtime, updatetime):
        self.username = username
        self.email = email
        self.role_id = role_id
        self.createtime = createtime
        self.updatetime = updatetime

    @property
    def password(self):
        raise AttributeError('password is not a readable property')

    @password.setter
    def password(self, password):
        self._password = generate_password_hash(password)

    def verify_password(self, password):
        return check_password_hash(self._password, password)

    @property
    def is_active(self):
        """All users are active"""
        return True

    @property
    def is_anonymous(self):
        """Always return False, anonymous users aren't supported"""
        return False

    def get_id(self):
        """Return username for flask_login to use it as user id"""
        return self.email

    @property
    def is_authenticated(self):
        """All users are authenticated"""
        return True

    def register(self, password):
        self.password = password
        # Todo: complete the registration logic

    def __repr__(self):
        return 'User(username={0}, email={1})'.format(self.username, self.email)

我正在按照文档中提到的方式进行操作，但是当浏览器关闭时用户仍然会注销，以防出现以下情况strong保护。我不确定出了什么问题。

我将不胜感激任何帮助，谢谢！

您没有做任何错误的事情，这是当会话保护设置为强时所需的行为。

Edit:

基本上，当会话保护设置为基本或强时，用户登录后，会话标识符将被计算（基于用户 IP 和用户用户代理）并存储。然后根据每个新请求进行计算并与存储的版本进行检查。

浏览器重新启动以加载用户后，除了 Remember_me cookie 之外，Flask-Login 还会检查会话 ID 是否与存储的值匹配。但是，由于浏览器重新启动，因此不会存储会话 ID 值，并且此测试将不会通过。因此，将会发生这两件事之一。

• 如果保护设置为基本，会话将被标记为不新鲜，并且用户将从“记住我”cookie 中加载。

• 如果保护设置为强，则不会加载用户，并且记住我 cookie 将被删除。

如果使用基本设置，最好使用 fresh_login_required 来装饰处理敏感操作（例如密码更改）的视图函数。正如官方文档中所述：

烧瓶登录.新鲜登录_必需（功能）如果你用这个装饰一个视图，它将确保当前用户的登录是新鲜的 - 即他们的会话不是从“记住我”cookie 中恢复的。敏感操作（例如更改密码或电子邮件）应受到此保护，以阻止 cookie 窃贼的活动。

https://flask-login.readthedocs.io/en/latest/_modules/flask_login/utils.html#fresh_login_required https://flask-login.readthedocs.io/en/latest/_modules/flask_login/utils.html#fresh_login_required