flask_wtf是flask框架的表單驗證模塊，可以很方便生成表單，也可以當做json數據交互的驗證工具，支持熱插拔。
安裝
pip install Flask-WTF
Flask-WTF其實是對wtforms組件的封裝，使其支持對flask框架的熱插拔。
簡單使用
# app.py
from flask import Flask, current_app, request, render_template
from forms import MyForm
app = Flask(__name__,template_folder='static/html')
@app.route('/',methods=['GET','POST'])
def login():
form = MyForm()
if form.validate_on_submit():
return 'OK'
return render_template('forms/index.html', form=form)
if __name__ == '__main__':
app.run(host='127.0.0.1', port=80, debug=True)
# forms.py
from flask_wtf import FlaskForm
from wtforms import StringField
from wtforms.validators import DataRequired
class MyForm(FlaskForm):
name = StringField('name', validators=[DataRequired()])
# forms/index.html
<form method="POST" action="/">
{{ form.csrf_token }}
{{ form.name.label }} {{ form.name(size=20) }}
<input type="submit" value="Go">
</form>
flask_wtf定義字段
flask_wtf完全使用wtforms組件的字段模型，wtforms對字段的定義在fields模塊；又分為core和simple，core模塊定義了普通使用的字段，simple在core模塊的基礎上擴展了一些字段，這些字段會自動進行字段級別的校驗。
- 字段類型
# core.py
__all__ = (
'BooleanField', 'DecimalField', 'DateField', 'DateTimeField', 'FieldList',
'FloatField', 'FormField', 'IntegerField', 'RadioField', 'SelectField',
'SelectMultipleField', 'StringField',
)
常用字段說明：
BooleanField：布爾類型，如Flask,True
StringField：字符串類型
DecimalField：小數點文本字段，如：‘1.23’
DateField：日期字段，格式：'%Y-%m-%d'
DateTimeField:日期字段，格式：'%Y-%m-%d %H:%M:%S'
FieldList:統一字段類型組成列表，如：FieldList(StringField('Name', [validators.required()]))
FloatField:浮點數類型
IntegerField：整形
SelectMultipleField：多選框
RadioField：單選框
# simple.py
TextAreaField:文本域，可接受多行輸入
PasswordField：密碼字段，輸入的不會直接在瀏覽器明文顯示
FileField：上傳文件，但不會處理驗證文件，需要手動處理
HiddenField：隱藏字段
SubmitField：按鈕
TextField:字符串類型的別名，棄用
- 表單定義
# 參數：
class UserAdminForm(FlaskForm):
username = StringField(label='用戶名', validators=[DataRequired(),Length(4,20)])
password_hash = PasswordField(label='密碼',validators=[DataRequired(),Length(4,20)])
limit = SelectField(label='用戶權限',
choices=[('guest', '所有權限'),
('operation', '可讀可寫不可刪除'),
('management', '可讀不可寫')],
default='guest') # 權限
# 字段一般的參數
# label:字段的名字
# default：默認
# validators：字段的驗證序列
# description：字段的描述
# choices：SelectField和他的子類有的字段，選擇框，多選一
- 字段的驗證序列
字段的參數validators可以指定提交表單的驗證序列，按照從左到右的順序，默認的可選驗證在wtforms.validators模塊，已經封裝的驗證方法有：
__all__ = (
'DataRequired', 'data_required', 'Email', 'email', 'EqualTo', 'equal_to',
'IPAddress', 'ip_address', 'InputRequired', 'input_required', 'Length',
'length', 'NumberRange', 'number_range', 'Optional', 'optional',
'Required', 'required', 'Regexp', 'regexp', 'URL', 'url', 'AnyOf',
'any_of', 'NoneOf', 'none_of', 'MacAddress', 'mac_address', 'UUID'
)
模塊中大小寫有對應的方式，如DataRequired對應data_required。
DataRequired/data_required:驗證數據是否真實存在，即不能為空，必須是非空白字符串，否則觸發StopValidation錯誤。
InputRequired/input_required：和DataRequired的區別在於可以是空白字符串；
Required/required:data_required的別名
Email/email：驗證符合郵件的格式，只有最基本的驗證；
EqualTo/equal_to:比較兩個字段的值，比如密碼和確認密碼，如果不相等就觸發錯誤，equal_to(field,message),需要輸入另一個字段的名字。
IPAddress/ip_address:驗證是否是ip地址，默認驗證IPV4地址。
MacAddress/mac_address:驗證是否符合mac格式；
UUID：是否是uuid格式；
URL/url:驗證是否符合url格式；
Regexp/regexp:用提供的正則表達式驗證字段；Regexp(r"")
Length/length:設置字段值的長度，Length(min,max);
NumberRange/number_range:設置一個數字字段的取值范圍，可以針對浮點數和小數；NumberRange(min,max)
Optional/optional:允許字段為空並停止驗證；
NoneOf/none_of:將傳入的數據和無效的比較，是拋出異常；Noneof(values).
Anyof/any_of:將傳入的數據和預設的數據比較，不是異常。Anyof(values).
- 自定義字段驗證
如果默認的驗證序列不滿足我們的要求，我們可以通過繼承的方式自定義字段。
from wtforms.validators import DataRequired,Length,StopValidation
class NewStringField(StringField):
"""
自定義一個新的字段
"""
def pre_validate(self, form):
"""驗證方法，在validators驗證序列之前"""
x:str = form.name.data
if not x.startswith('g'):
raise StopValidation("your data must be startswith 'g'")
def post_validate(self, form, validation_stopped):
"""
驗證方法，在validators驗證序列之后
:param form:該字段所屬的表單對象
:param validation_stopped:前面驗證序列的結果，True表示驗證通過，False表示驗證失敗
:return:
"""
if not validation_stopped:
raise ValueError("驗證失敗了！")
pass
-
觸發StopValidation異常會停止驗證鏈；
-
自定義表單驗證
一般來說，如果對表單有額外需要的驗證，一般自定義表單的額外的驗證方法而不是重新自定義新的字段,而form已經為我們提供了這種方法。
看Form對象的源碼：
def validate(self):
"""
Validates the form by calling `validate` on each field, passing any
extra `Form.validate_<fieldname>` validators to the field validator.
"""
extra = {}
for name in self._fields:
inline = getattr(self.__class__, 'validate_%s' % name, None)
if inline is not None:
extra[name] = [inline]
return super(Form, self).validate(extra)
Form對象調用validate函數時會自動尋找validate_%s的方法添加到驗證序列,並在原先字段的驗證序列驗證完畢后執行。
class MyForm(FlaskForm):
name = StringField('name', validators=[DataRequired(), Length(4,20)])
def validate_name(self, field):
print(field.data)
if hasattr(self, 'name') and len(self.name.data) > 5:
print(self.name.data)
return True
raise ValidationError('超過5個字符')
# 在自定義的驗證方法中，拋出異常使用ValidationError，validate會自動捕捉。
表單對象
flask_wtf推薦使用Form對象的子類FlaskForm代替，該對象提供了所有表單需要的屬性和方法。那么Form對象是如何自動實現表單功能的呢？
分析FlaskForm對象源碼:
class FlaskForm(Form):
class Meta(DefaultMeta):
def wrap_formdata(self, form, formdata):
pass
def __init__(self, formdata=_Auto, **kwargs):
csrf_enabled = kwargs.pop('csrf_enabled', None)
pass
def is_submitted(self):
pass
def validate_on_submit(self):
pass
def hidden_tag(self, *fields):
pass
def validate(self):
pass
-
FlaskForm內部定義了一個Meta類，該類添加csrf保護的一些方法，所以創建表單的時候一定要導入FlaskForm而不是Form.
-
is_submitted:檢查是否有一個活躍的request請求;
-
validate_on_submit:調用is_submitted和validate方法，返回一個布爾值，用來判斷表單是否被提交；
-
validate：字段級別的驗證，每個字段都有一個validate方法，FlaskForm調用validate會對所有的字段調用validate方法驗證，如果所有的驗證都通過返回Ture，否則拋出異常。
-
hidden_tag：獲取表單隱藏的字段；
-
wrap_formdata:獲取request中的form，每次form對象初始化時會執行該函數從request獲取form。
-
重要屬性
form.data:字段名字和值組成的字典；
form.errors：驗證失敗的信息字典，在調用validate_on_submit方法后才有效；
form.name.data：字段name的值；
form.name.type：字段name的類型
常用場景
- 登錄驗證
# froms.py
class UserPasswordForm(FlaskForm):
"""
登錄提交的表單
"""
username = StringField('User', validators=[DataRequired()])
password = PasswordField('Password', validators=[DataRequired()])
# form.html
<form method="POST" action="/">
{{ form.csrf_token }}
{{ form.username.label }} {{ form.username(size=20) }}
{{ form.password.label }} {{ form.password }}
<input type="submit" value="Go">
</form>
# views.py
@app.route('/login',methods=['GET','POST'])
def login():
form = UserPasswordForm()
if form.validate_on_submit():
# 驗證表單
if form.username.data == "xiaoming" and form.password.data == '123':
return 'OK'
return render_template('forms/index.html', form=form)
- ajax請求轉化表單
有時候我們沒有html頁面的表單，只有ajax請求的數據交互，但是想借用Form來定義接口和驗證接收的數據，如果ajax的請求方法是('POST', 'PUT', 'PATCH', 'DELETE')中的一種，FlaskForm會自動從request對象中調用request.form和request.get_json()方法來接收數據，因此這種方式十分方便。注意：get方法不再其中。
# form.py
class MyForm(FlaskForm):
name = StringField('name', validators=[DataRequired(), Length(4,20)])
# view.py
@app.route('/form',methods=['GET','POST'])
def form():
if request.method != "GET":
form = MyForm() # form會獲取請求數據
print(form.data)
return 'ok'
return ''
# test.py
import requests as req
import json
class ProTest():
baseurl = 'http://127.0.0.1:80'
def test_form(self):
url = self.baseurl + '/form'
rsp = req.post(url,json={'name':'hhhh'})
# rsp = req.get(url,json={'name':'hhhh'})
if __name__ == '__main__':
test = ProTest()
test.test_form()
- form啟用csrf保護
默認csrf保護是開啟的，只要在html文件中添加{{ form.csrf_token }}，app必須設置SECRET_KEY參數。
# 禁用保護
form = Form(csrf_enabled=False)
# 或配置app時
WTF_CSRF_ENABLED = False
- 一般數據csrf保護
同理必須設置SECRET_KEY參數。
from flask_wtf.csrf import CsrfProtect
csrf = CsrfProtect()
def create_app():
app = Flask(__name__)
csrf.init_app(app)
# 模板中添加一個隱藏域
<input type="hidden" name="csrf_token" value="{{ csrf_token() }}" />
<meta name="csrf-token" content="{{ csrf_token() }}">
# 如果是ajax請求，可以在腳本中
var csrftoken = "{{ csrf_token() }}"
# 然后每個請求添加 X-CSRFToken 頭部
# 全局禁用csrf
WTF_CSRF_CHECK_DEFAULT = False
# 對一些視圖跳過csrf檢查
@csrf.exempt
@app.route('/foo', methods=('GET', 'POST'))
def my_handler():
return 'ok'