python flask学习(3)

这次主要学习web表单。学了下，很像是Django的form表单验证。不过有许多的不同。可以说是功能更加碎块化。Django的验证方式是很固定和严谨的，风格完全不同。

尽管Flask的请求对象提供的对象足够用于处理Web表单（如：request.form能获取POST请求中提交的表单数据），但有些任务很单调，而且要重复操作。比如生成表单的HTML代码和验证提交的表单数据。

Flask-WTF(http://pythonhosted.org/Flask-WTF)扩展可以把处理Web表单的过程编程一种愉快的体验。这个扩展对独立的WTForms(http://wtforms.simplecodes.com)包进行了包装，方便集成到Flask程序中。

1.跨站请求伪造保护

默认情况下，Flask-WTF能保护所有表单面免受跨站请求伪造（Cross-Site Request Forgery，CSRF）的攻击。恶意网站把请求发送到被攻击者已登录的其他网站是就会引发CSRF攻击。

为了实现CSRF保护，Flask-WTF需要程序设置一个密钥。Flask-WTF使用这个密钥生成加密令牌，再用令牌验证请求中表单数据的真伪。

这里也像是Django的CSRF防护。不过Django中是在POST表单提交中加入 {% csrf_token %}

<form method="POST" action="/post-url/">
    {% csrf_token %}
 
    <input name='alex' value="xxx">
</form>

还有其ajax调用方式。不过这里不赘述。

flaskCSRF防护设置方式

app = Flask(__name__)
app.config['SECRET_KEY'] = '这里设置密钥'

注意：为了增强安全性，密钥不应该直接写入代码，而要保存在环境变量中。

2.表单类

index.html文件：

<html>
    <head>
        <title>首页</title>
    </head>
    <body>
        {% if name %}
            <h1>Hello,{{ name }}!</h1>
        {% else %}
            <h1>Hello Stranger!</h1>
        {% endif %}
 
        <form method="POST">
            {{ form.hidden_tag() }}
            {{ form.name.label  }} {{ form.name() }}
            {{ form.submit() }}
        </form>
    </body>
</html>

app.py 文件：

from flask import Flask,render_template
from flask.ext.wtf import Form
from flask.ext.bootstrap import Bootstrap
from wtforms import StringField,SubmitField
from wtforms.validators import Required
 
class NameForm(Form):
    name = StringField('你的名字？',validators=[Required()])
    submit = SubmitField('提交')
 
app = Flask(__name__)
app.config['SECRET_KEY'] = 'ni cai'
bootstrap = Bootstrap(app)
 
@app.route('/',methods=['GET','POST'])
def index():
    name = None
    nameForm = NameForm()
 
    if nameForm.validate_on_submit():
        name = nameForm.name.data
        nameForm.name.data = ''
 
    return render_template('index.html',form=nameForm,name=name)
 
if __name__ == '__main__':
    app.run(debug=True)

注意：

0.NameForm类，声明了一个输入姓名文本框和提交按钮。字段构造函数第一个参数吧表单渲染成HTML时使用的标号。其中输入姓名的文本框需要必须填写。

1.app.route修饰器中添加的methods参数告诉Flask在URL映射中把这个视图函数注册为GET和POST请求的处理程序，如果没有指定methods参数，就只把视图函数注册为GET请求处理程序。因为Web表单提交为POST方式，故需要显示标明。

2.nameForm.validate_on_submit()方法，提交表单后，如果数据被所有验证函数接受，那么nameForm.validate_on_submit()方法返回True，否则返回False。

index.html文件：

{% extends "base.html" %}
{% import "bootstrap/wtf.html" as wtf %}
 
{% block title %}首页 {% endblock %}
 
{% block page_content %}
 
<div class="page-header">
{% if name %}
<h1> Hello,{{ name }}! </h1>
{% else %}
<h1>Hello,Stranger!</h1>
{% endif %}
</div>
 
{{ wtf.quick_form(form) }}
 
{% endblock %}

注意：

1.wtf.quick_form()函数的参数为Flask-WTF表单对象，使用Bootstrap默认样式渲染传入的表单

重定向和用户会话

为何别让web程序把post请求作为浏览器发送的最后一个请求？

因用户在刷新页面后会再次提交表单，这样不仅用户体验下降，而且会加重服务器压力。解决办法是使用重定向作为POST请求的响应，而非常规响应。

但这种方法的问题是，程序处理完POST请求时，使用form.name.data获取用户提交的数据，可请求结束，数据丢失。用户登录信息应该要保存下来的，否则登陆的意义何在？

为了使请求记住数据，就需要用户会话了。用户会话是一种私有存储，存在于客户端的cookie中。这里我们用请求上下文中名为session的变量实现。

from flask import Flask,render_template,session,url_for,redirect
from flask.ext.wtf import Form
from flask.ext.bootstrap import Bootstrap
from wtforms import StringField,SubmitField
from wtforms.validators import Required
 
class NameForm(Form):
    name = StringField('你的名字？',validators=[Required()])
    submit = SubmitField('提交')
 
app = Flask(__name__)
app.config['SECRET_KEY'] = 'ni cai'
bootstrap = Bootstrap(app)
 
@app.route('/',methods=['GET','POST'])
def index():
    name = None
    nameForm = NameForm()
 
    if nameForm.validate_on_submit():
        session['name'] = nameForm.name.data
        nameForm.name.data = ''
        return redirect(url_for('index'))
 
    return render_template('index.html',form=nameForm,name=session.get('name'))
 
if __name__ == '__main__':
    app.run(debug=True)

注意：

1.这个新版中，name被保存在用户会话session['name']中。所以在多次请求中也能维持会话。存储类型是键值对形式

2.redirect()函数用于生成HTTP重定向，在redirect()函数中，参数是重定向的url，推荐用url_for()生成URL，该函数可以保证URP和定义的路由兼容

3.url_for()函数唯一需指定的参数是端点名。默认状况下，路由的端点是相应视图函数的名字。

4.render_templates()中，使用session.get()直接从会话中获取name参数的值。这里是直接使用get(0获取字典中键对应的值以避免异常情况。

flash消息

请求完成后，有时需要让用户知道状态发生了变化。

这种提示功能是Flask的核心特性，flash()函数可实现这种效果。

app.py

from flask import Flask,render_template,session,url_for,redirect,flash
from flask.ext.wtf import Form
from flask.ext.bootstrap import Bootstrap
from wtforms import StringField,SubmitField
from wtforms.validators import Required
 
class NameForm(Form):
    name = StringField('你的名字？',validators=[Required()])
    submit = SubmitField('提交')
 
app = Flask(__name__)
app.config['SECRET_KEY'] = 'ni cai'
bootstrap = Bootstrap(app)
 
@app.route('/',methods=['GET','POST'])
def index():
    name = None
    nameForm = NameForm()
 
    if nameForm.validate_on_submit():
        newName = nameForm.name.data
 
        if newName == session.get('name'):
            session['name'] = nameForm.name.data
            nameForm.name.data = ''
            return redirect(url_for('index'))
        else:
            flash('名字输入错误!')
 
    return render_template('index.html',form=nameForm,name=session.get('name'))
 
if __name__ == '__main__':
    app.run(debug=True)

base.html 文件

{% extends "bootstrap/base.html" %}
 
{% block title %}Flasky {% endblock %}
 
{% block navbar %}
<div class="navbar navbar-inverse" role="navigation">
    <div class="container">
        <div class="navbar-header">
            <button type="button" class="navbar-toggle" data-toggle="collapse" data-target=".navbar-collapse">
                <span class="sr-only">Toggle navigation</span>
                <span class="icon-bar"></span>
                <span class="icon-bar"></span>
                <span class="icon-bar"></span>
            </button>
            <a class="navbar-brand" href="/">Flasky</a>
        </div>
        <div class="navbar-collapse collapse">
            <ul class="nav navbar-nav">
                <li><a href="/">Home</a></li>
            </ul>
        </div>
    </div>
</div>
{% endblock %}
 
{% block content %}
 
<div class="container">
{% for message in get_flashed_messages() %}
<div class="alert alert-warning">
<button type="button" class="close" data-dismiss="alert">&times;</button>
{{ message }}
</div>
{% endfor %}
 
{% block page_content %}{% endblock %}
</div>
 
{% endblock %}

注意：

1.flash()函数用于给client返回一个异常响应。当然，需要再前端基模板中渲染这些信息。前端可用get_flashed_message()函数获取并渲染消息。

2.这个例子中，使用了bootstrap提供的警报CSS样式渲染警告消息。