如何在 Flask 中完全禁用 cookie？

Question

我有一个用 Flask 托管的 API。 API 身份验证通过 Auth0 使用 authlib 进行处理。出于安全原因，我们希望完全禁用 cookie，但我不知道该怎么做。我发现了这个 StackOverflow 问题，但那是专门针对我们没有使用的 Flask-login 的。有谁对我们如何从 Flask 应用程序中省略 cookie 会话有任何指导吗？

Answer 1

抱歉，我链接到了与您的同一篇文章。

您可以尝试不设置

SECRET_KEY

。根据 docs，Flask 使用此密钥对 cookie 进行签名。如果省略，它可能会停止创建 cookie。

您还可以尝试使用

open_session

返回 None 来创建自定义会话界面。这样会话界面默认使用

NullSession

的替代品。

来自 https://flask.palletsprojects.com/en/3.0.x/api/#flask.sessions.SessionInterface

如果 open_session() 返回 None，Flask 将调用 make_null_session() 来创建一个会话，如果由于某些要求未满足而导致会话支持无法工作，则充当替换会话。创建的默认 NullSession 类会抱怨未设置密钥。

from flask import Flask
from flask.sessions import SessionInterface


class MySessionInterface(SessionInterface):
    def open_session(self, app, request):
        return None


app = Flask(__name__)