本文详解 flask 应用中登录失败的核心原因：
邮箱
重复、数据库唯一约束缺失、密码哈希校验参数顺序错误，并提供可直接落地的修复代码与最佳实践。
在 Flask 中实现安全可靠的用户登录，关键在于
数据唯一性保障
与
密码校验逻辑正确性
。你提供的登录
路由
看似完整，但实际存在两个高发隐患，导致“注册成功却无法登录”这一典型问题。
✅ 1. 数据库层：确保邮箱字段唯一（UNIQUE）
若 Users 模型未声明 email 字段为唯一索引，即使
前端
输入唯一邮箱，数据库也可能存入多条同邮箱记录。此时 users.count() == 1 判断失效——哪怕查到 2 条或 0 条，都会跳过后续校验，直接触发 flash('bad username or pass
word
')。
正确建模示例（SQLAlchemy 2.0+）：
⚠️ 注意：添加 unique=True 后，必须执行数据库迁移（如使用 Flask-Migrate）：flask db migrate -m "Add unique constraint to user email"
flask db upgrade
✅ 2. 密码校验层：严格遵循 check_password_hash() 参数顺序
werkzeug.security.check_password_hash(pwhash, password) 的
第一个参数必须是数据库中存储的哈希值
，第二个才是用户提交的明文密码。常见错误是将二者颠倒，或自定义 check_pw_hash() 函数时逻辑出错。
使用HTML,CSS,JavaScript开发Android应用程序 英文文字pdf版附源文件
如果你了解HTML，CSS和JavaScript，您已经拥有所需的工具开发Android应用程序。本动手本书展示了如何使用这些开源web标准设计和建造，可适应任何Android设备的应用程序 - 无需使用Java。您将学习如何创建一个在您选择的平台的Android友好的网络应用程序，然后转换与自由PhoneGap框架到一个原生的Android应用程序。了解为什么设备无关的移动应用是未来的潮流，并开始构建应用程序，提供更
下载
推荐写法（使用 Werkzeug 官方函数）：
✅ 3. 模板与安全增强建议
表单字段健壮性
：在 HTML 中为 添加 required 属性，并使用 request.form.get() 替代 request.form[]，避免 KeyError。
会话安全
：登录成功后建议调用
session
.permanent = True 并设置 app.config['PERMANENT_SESSION_LIFETIME']。
密码字段命名一致性
：确保模型中密码哈希字段名为 pw_hash（而非 password），避免与明文混淆。
? 总结检查清单
项目是否完成说明✅ email 字段设为 unique=True□必须配合数据库迁移生效✅ 使用 check_password_hash(stored_hash, plain_password)□参数顺序不可颠倒✅ 查询用 .first() 替代 .filter_by().count() == 1□更高效且语义清晰✅ 会话中存储 user.id 而非敏感信息（如 email）□提升安全性与扩展性✅ 登录表单添加 required 与 type="email"□前端基础防护
通过以上三步修正，你的 Flask 登录功能将稳定识别合法凭据，彻底解决“注册后无法登录”的顽疾。
from sqlalchemy import String
from sqlalchemy.orm import Mapped, mapped_column
class User(db.Model): # 推荐使用更清晰的类名（如 User 而非 Users）
id: Mapped[int] = mapped_column(primary_key=True)
email: Mapped[str] = mapped_column(String(120), unique=True, nullable=False) # ← 关键：unique=True
pw_hash: Mapped[str] = mapped_column(String(255), nullable=False) # 建议字段名明确为 pw_hashfrom werkzeug.security import check_password_hash
@app.route("/login", methods=['GET', 'POST'])
def login():
if request.method == 'GET':
return render_template('login.html')
# POST 处理
email = request.form.get('email', '').strip()
password = request.form.get('password', '')
# 防空值 & 基础校验
if not email or not password:
flash('Email and password are required.')
return redirect('/login')
user = User.query.filter_by(email=email).first() # 更高效：直接 first()，避免 count()
if user and check_password_hash(user.pw_hash, password):
session['user_id'] = user.id # ← 推荐存 user.id 而非 email，更安全
session['user_email'] = user.email
flash(f'Welcome back, {user.email}!')
return redirect('/')
flash('Invalid email or password.')
return redirect('/login')