简介围绕 Python Flask 构建简易博文系统的试验型 Demo 源码包面向刚接触 Web 开发、希望把路由、模板与数据库串起来练习的初学者可用于理解登录登出、博文发布查看等基础流程。压缩包共 8 个文件约 5KB以 html 模板、py 主程序、sql 建表脚本、db 数据库和 css 样式为主另含缓存文件体量轻巧便于快速查阅与本地试验。已有 3087 人学习。包内围绕 Flask 路由与视图函数、Jinja2 页面渲染、SQLite3 用户与博文表结构、session 身份验证等环节组织能帮助读者对照一个可运行的小系统梳理请求处理、模板变量、表单提交和数据持久化的对应关系。对正在完成课程设计或小型练手项目的人而言这些文件覆盖了从数据库初始化到页面呈现的关键环节方便按模块拆解并验证自己的实现思路也可作为二次改造的起点在有限代码中把握 Web 应用从入口到展示的基本骨架。1. 试验楼借用登记这个需求为什么先用 Flask sqlite3 跑通试验楼里房间和设备借用还靠共享表格登记冲突、漏记、归还找不到人几乎每周都要人工对一遍。这个 Python Flask 开发实例就从一个能跑通的试验楼小 Demo 开始登录、房间与设备台账、借用申请、审批、归还、统计看板先形成一条最小闭环。技术栈选 Flask sqlite3原因很直接Python web 开发入门成本低sqlite3 不用单独装服务建表脚本一跑就能演示Flask 的路由、模板、session 足够把业务状态讲清楚。这套结构适合正在做课程设计、毕设前期原型的人也适合想拿一个能改字段就上线内部登记页的从业者。Demo 不求大求每条状态流转都能验收。2. 总体架构设计应用工厂、Blueprint 与四张表的职责边界这个 Demo 的功能边界要先收住否则很容易写成“什么都能管”的后台。试验楼场景真正跑起来的最小集合是用户登录、房间台账、设备台账、借用单申请与审批、归还、统计看板。围绕这六件事代码按应用工厂 Blueprint 原生 sqlite3 组织每一层只做一件事。应用工厂负责配置和注册蓝图Blueprint 按业务拆文件sqlite3 连接挂在请求上下文里模板只负责展示。这样后面加“设备维修”或“黑名单”时不用把路由全塞进一个 app.py。2.1 目录结构与启动链路先把目录定下来后面写代码才不会一边写一边搬文件。下面这棵目录树是这套 Demo 的骨架instance 目录运行时生成不放进版本库schema.sql 放根目录初始化命令直接读它。lab-booking/ ├── app.py # 启动入口create_app() ├── schema.sql # 建表脚本 ├── requirements.txt ├── instance/ # sqlite3 文件与运行时数据不提交 ├── app/ │ ├── __init__.py # 应用工厂注册蓝图和 CLI │ ├── db.py # 连接、关闭、初始化 │ ├── auth.py # 登录、会话、权限装饰器 │ ├── rooms.py # 房间与设备台账 │ ├── loans.py # 借用单申请、审批、归还 │ ├── dashboard.py # 统计看板 │ ├── templates/ │ └── static/ └── tests/ └── test_loans.py # 用临时库跑状态流转启动链路是app.py 调 create_app()工厂里读配置、建 instance 目录、注册四个 Blueprint再注册 init-db 和 mark-overdue 两个 CLI 命令。url_prefix 把房间、借用、看板分开模板里 url_for 写蓝图名后面改前缀不会牵连一堆硬编码链接。这个结构看起来比单文件麻烦但答辩时被问到“业务怎么分层”目录本身就能回答一半。2.2 数据模型用户、房间、设备、借用单四张表怎么落四张表的关系不复杂user 存账号和角色room 存房间device 挂在 room 下loan 同时引用 user、room、device。时间字段统一用 TEXT 存 ISO8601 字符串sqlite3 的文本比较在这种格式下是可靠的状态字段用 CHECK 约束把取值锁死避免后面出现“已借出”和“借出中”两套写法。PRAGMA foreign_keys ON; CREATE TABLE user ( id INTEGER PRIMARY KEY AUTOINCREMENT, username TEXT UNIQUE NOT NULL, password_hash TEXT NOT NULL, role TEXT NOT NULL CHECK (role IN (student, admin)), created_at TEXT NOT NULL DEFAULT (datetime(now, localtime)) ); CREATE TABLE room ( id INTEGER PRIMARY KEY AUTOINCREMENT, name TEXT UNIQUE NOT NULL, capacity INTEGER NOT NULL DEFAULT 1, status TEXT NOT NULL DEFAULT open CHECK (status IN (open, closed)) ); CREATE TABLE device ( id INTEGER PRIMARY KEY AUTOINCREMENT, room_id INTEGER NOT NULL REFERENCES room(id) ON DELETE CASCADE, name TEXT NOT NULL, asset_no TEXT UNIQUE NOT NULL, status TEXT NOT NULL DEFAULT idle CHECK (status IN (idle, borrowed, repair)) ); CREATE TABLE loan ( id INTEGER PRIMARY KEY AUTOINCREMENT, user_id INTEGER NOT NULL REFERENCES user(id), room_id INTEGER NOT NULL REFERENCES room(id), device_id INTEGER REFERENCES device(id), start_at TEXT NOT NULL, end_at TEXT NOT NULL, status TEXT NOT NULL DEFAULT pending CHECK (status IN (pending, approved, rejected, borrowed, returned, overdue)), note TEXT, created_at TEXT NOT NULL DEFAULT (datetime(now, localtime)) ); CREATE INDEX idx_loan_time ON loan(room_id, start_at, end_at);user.role 只放 student 和 admin 两种值loan 的 device_id 允许为空表示只借房间不借设备。room.status 关闭后不再出现在申请下拉框里但历史单据还留着。loan 上建 (room_id, start_at, end_at) 联合索引是因为冲突检测每次都要按房间和时间段筛。PRAGMA foreign_keys ON要在每个连接上执行sqlite3 默认不打开外键约束这一点很容易翻车。2.3 状态机与权限边界谁能改哪张单借用单是整套 Demo 的核心状态不能靠模板按钮控制必须写进 SQL 条件里。初始状态是 pending管理员审批后进入 approved 或 rejected管理员确认借出后变 borrowed学生或管理员发起归还后变 returned超过 end_at 仍为 borrowed 的单据由 CLI 扫描成 overdue。rejected 和 returned 是终态不再参与冲突检测。当前状态动作下一状态操作者pending通过approvedadminpending驳回rejectedadminapproved确认借出borrowedadminborrowed归还returned本人或 adminoverdue归还returned本人或 adminborrowed超过结束时间overdue定时 CLI权限判断放在后端装饰器里login_required 拦截未登录admin_required 拦截非管理员。模板里用g.user[role] admin隐藏审批按钮只是体验优化不能当安全边界。状态更新一律带WHERE id? AND status?执行完看rowcount为 0 就提示“单据状态已变化”这样两个人同时点审批时不会互相覆盖。2.4 技术选型对比为什么不上 ORM 和前端框架这个 Demo 的讲解重点是请求进入后怎么校验、怎么查冲突、怎么改状态不是模型迁移。Flask 原生 sqlite3 的参数化查询足够把这条链路写清楚代码量也压得住。ORM 不是不能用而是前期会把时间花在模型关系和迁移配置上答辩时反而讲不清业务规则落在哪。方案上手成本适合场景这个 Demo 的选择Flask sqlite3 原生低课设、原型、内部小工具选它SQL 和状态机一目了然Django ORM中完整后台、需要权限体系功能多但骨架重Flask SQLAlchemy中需要模型迁移和复杂查询后期换路由层不用大改前端框架 API高交互复杂、多人协作不引入Jinja2 够用不引入前端框架还有一个现实原因试验楼登记页面的交互就是列表、表单、审批按钮Jinja2 服务端渲染加少量 CSS 就能演示。后面真要拆 API把 loans.py 里的函数抽成 service再套一层 JSON 路由即可前期不必为“可能扩展”付代价。3. 核心业务实现从登录鉴权到借用单流转的 Flask 路由这一章落到代码。顺序按请求生命周期走先建应用工厂和数据库连接再处理登录会话然后写借用申请、审批、归还和逾期扫描。每段代码都只保留关键逻辑参数和失败分支在代码后说明。写这类 Demo 最容易犯的错是“页面能点通就算完”但状态机的收口、并发修改的 rowcount、时间格式的统一才是答辩时能讲出深度的部分。3.1 应用工厂与数据库连接g 对象和 teardownsqlite3 的连接不能全局共享Flask 的 g 对象正好按请求存放。get_db() 第一次调用时建连接设置 row_factory 让查询结果能按列名取值打开外键约束并给一个 timeout避免一遇到锁就立刻报错。teardown_appcontext 在请求结束时关闭连接防止连接泄漏。# app/db.py import sqlite3 import click from flask import current_app, g def get_db(): if db not in g: g.db sqlite3.connect( current_app.config[DATABASE], detect_typessqlite3.PARSE_DECLTYPES, timeout10, # 等锁最多 10 秒避免一冲突就报错 ) g.db.row_factory sqlite3.Row g.db.execute(PRAGMA foreign_keys ON) return g.db def close_db(eNone): db g.pop(db, None) if db is not None: db.close() def init_db(): db get_db() with current_app.open_resource(schema.sql) as f: db.executescript(f.read().decode(utf8)) click.command(init-db) def init_db_command(): init_db() click.echo(数据库已初始化) def init_app(app): app.teardown_appcontext(close_db) app.cli.add_command(init_db_command)timeout10的单位是秒sqlite3 在遇到写锁时会等这么久再抛异常detect_typessqlite3.PARSE_DECLTYPES让声明为 TIMESTAMP 的列自动转换但这里的表用 TEXT 存时间主要靠字符串比较不依赖它。init-db命令只负责建表不负责塞演示数据演示数据可以另写 seed 命令避免初始化时把测试账号带进正式库。应用工厂里把 DATABASE 指到 instance 目录测试时用临时路径覆盖同一个 create_app 就能跑两套环境。3.2 登录与会话session 密码哈希的最小实现登录不做复杂权限树session 里只存 user_id每次请求用 before_app_request 查出用户对象挂到 g.user。这样角色改了之后下一次请求就生效不会出现“旧会话还带着管理员身份”的问题。密码用 werkzeug.security 的 generate_password_hash 和 check_password_hash不存明文。# app/auth.py import functools from flask import Blueprint, flash, g, redirect, render_template, request, session, url_for from werkzeug.security import check_password_hash from .db import get_db bp Blueprint(auth, __name__) bp.before_app_request def load_logged_in_user(): user_id session.get(user_id) g.user None if user_id is not None: g.user get_db().execute( SELECT id, username, role FROM user WHERE id?, (user_id,) ).fetchone() bp.route(/login, methods(GET, POST)) def login(): if request.method POST: username request.form.get(username, ).strip() password request.form.get(password, ) user get_db().execute( SELECT * FROM user WHERE username?, (username,) ).fetchone() if user is None or not check_password_hash(user[password_hash], password): flash(用户名或密码不正确, error) else: session.clear() session[user_id] user[id] return redirect(url_for(dashboard.index)) return render_template(auth/login.html) def login_required(view): functools.wraps(view) def wrapped_view(**kwargs): if g.user is None: return redirect(url_for(auth.login)) return view(**kwargs) return wrapped_view def admin_required(view): functools.wraps(view) def wrapped_view(**kwargs): if g.user is None or g.user[role] ! admin: flash(需要管理员权限, error) return redirect(url_for(dashboard.index)) return view(**kwargs) return wrapped_view登录成功后先session.clear()再写 user_id是为了防止会话固定攻击虽然 Demo 不展开安全专题但这个动作成本低。load_logged_in_user用 before_app_request所有蓝图都能拿到 g.user。装饰器只做拦截真正的角色判断在路由和 SQL 条件里再兜一层。注册路由可以保留但限制为管理员创建账号避免演示时谁都能注册管理员。3.3 借用申请与审批事务、冲突检测和状态更新申请页要处理三件事表单校验、时间段冲突、插入单据。校验放在独立函数里方便测试直接调用冲突检测用半开区间start_at 新结束 AND end_at 新开始能识别部分重叠插入后统一 commit。审批路由只允许 pending 被改成 approved 或 rejected用 rowcount 判断是否有人抢先改过。# app/loans.py节选 from datetime import datetime from flask import Blueprint, abort, flash, g, redirect, render_template, request, url_for from .auth import admin_required, login_required from .db import get_db bp Blueprint(loans, __name__) def validate_loan_form(room_id, start_at, end_at): if not room_id: return 请选择房间 try: start datetime.fromisoformat(start_at) end datetime.fromisoformat(end_at) except ValueError: return 时间格式应为 YYYY-MM-DDTHH:MM if start end: return 结束时间必须晚于开始时间 if start datetime.now(): return 开始时间不能早于当前时间 if (end - start).total_seconds() 8 * 3600: return 单次借用不能超过 8 小时 return None bp.route(/apply, methods(GET, POST)) login_required def apply(): db get_db() if request.method POST: room_id request.form.get(room_id, typeint) start_at request.form.get(start_at, ).strip() end_at request.form.get(end_at, ).strip() note request.form.get(note, ).strip() error validate_loan_form(room_id, start_at, end_at) if error is None: conflict db.execute( SELECT COUNT(*) AS n FROM loan WHERE room_id? AND status IN (approved,borrowed,overdue) AND start_at ? AND end_at ?, (room_id, end_at, start_at), ).fetchone()[n] if conflict: error 该时间段已被占用换一个时间或房间 if error is None: db.execute( INSERT INTO loan (user_id, room_id, start_at, end_at, note) VALUES (?, ?, ?, ?, ?), (g.user[id], room_id, start_at, end_at, note), ) db.commit() flash(借用申请已提交等待审批, ok) return redirect(url_for(loans.my_loans)) flash(error, error) rooms db.execute(SELECT * FROM room WHERE statusopen ORDER BY name).fetchall() return render_template(loans/apply.html, roomsrooms) bp.route(/int:loan_id/review, methods(POST,)) admin_required def review(loan_id): action request.form.get(action) if action not in (approve, reject): abort(400) new_status approved if action approve else rejected db get_db() cur db.execute( UPDATE loan SET status? WHERE id? AND statuspending, (new_status, loan_id), ) db.commit() if cur.rowcount 0: flash(单据状态已变化刷新后重试, error) else: flash(审批完成, ok) return redirect(url_for(loans.all_loans))validate_loan_form的四个参数类型要固定room_id 是 intstart_at 和 end_at 是字符串返回 None 表示通过。datetime.fromisoformat能直接吃YYYY-MM-DDTHH:MM和input typedatetime-local的提交格式一致。冲突查询只把 approved、borrowed、overdue 算作占用pending 不占时间否则一个人提交未审批的单据就能把房间锁死。审批 UPDATE 带statuspendingrowcount 为 0 说明单据已被别人处理这时候不要强行覆盖提示刷新更稳。注意冲突检测和 INSERT 之间没有数据库级唯一约束高并发下仍可能插进两条重叠单。课程设计演示够用真要上生产给时间段加排他约束或把检测和插入放进同一个BEGIN IMMEDIATE事务。3.4 归还与逾期定时扫描与统计 SQL归还动作要校验“是不是本人的单”以及“当前状态能不能还”。管理员可以代还普通用户只能还自己的。状态只允许从 borrowed 或 overdue 改成 returned其他状态一律拒绝。逾期不放在请求里扫全表单独做一个 CLI 命令演示时手动跑一次生产环境交给定时任务。# app/loans.py续 bp.route(/int:loan_id/return, methods(POST,)) login_required def return_loan(loan_id): db get_db() loan db.execute(SELECT * FROM loan WHERE id?, (loan_id,)).fetchone() if loan is None: abort(404) if g.user[role] ! admin and loan[user_id] ! g.user[id]: abort(403) cur db.execute( UPDATE loan SET statusreturned WHERE id? AND status IN (borrowed,overdue), (loan_id,), ) db.commit() if cur.rowcount: flash(归还成功, ok) else: flash(当前状态不能归还, error) return redirect(url_for(loans.my_loans)) # 逾期扫描命令注册到 app.cli import click click.command(mark-overdue) def mark_overdue_command(): db get_db() cur db.execute( UPDATE loan SET statusoverdue WHERE statusborrowed AND end_at datetime(now,localtime) ) db.commit() click.echo(f标记逾期 {cur.rowcount} 条)归还路由先查单据再判断权限避免普通用户通过猜 id 操作别人的单。status IN (borrowed,overdue)把可归还状态收口approved 还没借出的单不能直接还。逾期命令用datetime(now,localtime)和建表时的默认时间保持同一时区口径如果服务器时区不一致end_at 和 now 的比较就会偏后面避坑章会展开。CLI 命令适合答辩现场演示“系统能自动识别逾期”也比在列表页每次请求扫全表更干净。4. 页面与交互落地Jinja2 模板、表单校验和统计看板后端路由跑通之后页面要让人能点、能看懂、能演示。这套 Demo 不引入前端构建链模板按 base、列表、表单三层拆CSS 只写必要布局。表单校验以服务端为准前端 required 和 maxlength 只做体验。看板用一条聚合 SQL 把房间借用情况压成一页答辩时翻到这一页比列一堆代码更有说服力。4.1 模板分层base、列表页、表单页base.html 管导航、flash 消息和内容块所有页面继承它。导航里的“审批台”只对管理员显示但后端 review 路由仍然有 admin_required模板隐藏只是不让普通用户看到入口。flash 消息按 category 输出 ok 或 errorCSS 给两种颜色即可。!-- app/templates/base.html -- !doctype html html langzh-CN head meta charsetutf-8 title{% block title %}试验楼借用登记{% endblock %}/title link relstylesheet href{{ url_for(static, filenamestyle.css) }} /head body nav a href{{ url_for(dashboard.index) }}看板/a a href{{ url_for(rooms.list_rooms) }}房间/a a href{{ url_for(loans.my_loans) }}我的借用/a {% if g.user and g.user[role] admin %} a href{{ url_for(loans.all_loans) }}审批台/a {% endif %} /nav {% for category, message in get_flashed_messages(with_categoriestrue) %} div classflash {{ category }}{{ message }}/div {% endfor %} {% block content %}{% endblock %} /body /html{% block title %}和{% block content %}让子模板只写差异部分url_for(static, filenamestyle.css)走 Flask 静态路由换部署前缀不用改路径。导航里的 g.user 是 before_app_request 挂上去的未登录时为 None所以判断要加g.user and。flash 消息用 with_categoriestrue模板才能拿到 ok/error 分类避免所有提示一个颜色。4.2 表单校验与错误回显不用 WTForms 也能做申请表单用原生 HTML 控件房间下拉从数据库取 open 状态的房间时间用 datetime-local备注限制 200 字。前端 required 只能拦住空值时间先后、超过 8 小时、时间段冲突仍然要靠后端 validate_loan_form 和冲突查询。错误通过 flash 回显页面刷新后表单内容不保留这是 Demo 的取舍要保留可以再把 request.form 传回模板。!-- app/templates/loans/apply.html -- {% extends base.html %} {% block title %}提交借用申请{% endblock %} {% block content %} form methodpost label房间 select nameroom_id required {% for room in rooms %} option value{{ room[id] }}{{ room[name] }}{{ room[capacity] }} 人/option {% endfor %} /select /label label开始时间 input typedatetime-local namestart_at required/label label结束时间 input typedatetime-local nameend_at required/label label用途说明 textarea namenote maxlength200/textarea/label button typesubmit提交申请/button /form {% endblock %}datetime-local提交的值就是YYYY-MM-DDTHH:MM和datetime.fromisoformat对得上如果换成 text 输入用户很可能敲2025/03/01 9:00后端解析直接失败。maxlength200只是浏览器限制后端仍要截断或校验 note 长度。房间下拉只查 open关闭的房间不会出现在选项里但历史单据里的 room_id 仍然能关联出房间名。4.3 看板 SQL 与分页让答辩时有一页能讲看板按房间聚合统计总借用单、进行中的单、逾期单。LEFT JOIN 保证没有借用的房间也出现在列表里SUM(CASE WHEN ...) 把不同状态压成列。列表页用 LIMIT/OFFSET 分页page 从 query string 取非法值压到 1总页数用 ceil 算。SELECT r.name, COUNT(l.id) AS total, SUM(CASE WHEN l.status IN (approved, borrowed, overdue) THEN 1 ELSE 0 END) AS active, SUM(CASE WHEN l.status overdue THEN 1 ELSE 0 END) AS overdue FROM room r LEFT JOIN loan l ON l.room_id r.id GROUP BY r.id, r.name ORDER BY overdue DESC, active DESC, r.name;# app/loans.py 里的列表分页节选 from math import ceil from flask import request, render_template from .db import get_db def list_page(): db get_db() page max(request.args.get(page, 1, typeint), 1) per_page 10 offset (page - 1) * per_page total db.execute(SELECT COUNT(*) AS n FROM loan).fetchone()[n] rows db.execute( SELECT l.*, r.name AS room_name, u.username FROM loan l JOIN room r ON r.id l.room_id JOIN user u ON u.id l.user_id ORDER BY l.created_at DESC LIMIT ? OFFSET ?, (per_page, offset), ).fetchall() return render_template( loans/list.html, loansrows, pagepage, pagesceil(total / per_page) if total else 1, )聚合 SQL 里 active 把 approved、borrowed、overdue 都算作占用中overdue 单独再算一列排序时逾期多的房间排前面答辩现场一眼能看到问题房间。分页代码里request.args.get(..., typeint)自带类型转换传字母会得到默认值 1max(..., 1)防止 page0 或负数。LIMIT 和 OFFSET 用参数占位不拼字符串避免注入。总页数为 0 时给 1模板不会出现“第 1 页 / 共本文还有配套的精品资源点击获取
简介围绕 Python Flask 构建简易博文系统的试验型 Demo 源码包面向刚接触 Web 开发、希望把路由、模板与数据库串起来练习的初学者可用于理解登录登出、博文发布查看等基础流程。压缩包共 8 个文件约 5KB以 html 模板、py 主程序、sql 建表脚本、db 数据库和 css 样式为主另含缓存文件体量轻巧便于快速查阅与本地试验。已有 3087 人学习。包内围绕 Flask 路由与视图函数、Jinja2 页面渲染、SQLite3 用户与博文表结构、session 身份验证等环节组织能帮助读者对照一个可运行的小系统梳理请求处理、模板变量、表单提交和数据持久化的对应关系。对正在完成课程设计或小型练手项目的人而言这些文件覆盖了从数据库初始化到页面呈现的关键环节方便按模块拆解并验证自己的实现思路也可作为二次改造的起点在有限代码中把握 Web 应用从入口到展示的基本骨架。1. 试验楼借用登记这个需求为什么先用 Flask sqlite3 跑通试验楼里房间和设备借用还靠共享表格登记冲突、漏记、归还找不到人几乎每周都要人工对一遍。这个 Python Flask 开发实例就从一个能跑通的试验楼小 Demo 开始登录、房间与设备台账、借用申请、审批、归还、统计看板先形成一条最小闭环。技术栈选 Flask sqlite3原因很直接Python web 开发入门成本低sqlite3 不用单独装服务建表脚本一跑就能演示Flask 的路由、模板、session 足够把业务状态讲清楚。这套结构适合正在做课程设计、毕设前期原型的人也适合想拿一个能改字段就上线内部登记页的从业者。Demo 不求大求每条状态流转都能验收。2. 总体架构设计应用工厂、Blueprint 与四张表的职责边界这个 Demo 的功能边界要先收住否则很容易写成“什么都能管”的后台。试验楼场景真正跑起来的最小集合是用户登录、房间台账、设备台账、借用单申请与审批、归还、统计看板。围绕这六件事代码按应用工厂 Blueprint 原生 sqlite3 组织每一层只做一件事。应用工厂负责配置和注册蓝图Blueprint 按业务拆文件sqlite3 连接挂在请求上下文里模板只负责展示。这样后面加“设备维修”或“黑名单”时不用把路由全塞进一个 app.py。2.1 目录结构与启动链路先把目录定下来后面写代码才不会一边写一边搬文件。下面这棵目录树是这套 Demo 的骨架instance 目录运行时生成不放进版本库schema.sql 放根目录初始化命令直接读它。lab-booking/ ├── app.py # 启动入口create_app() ├── schema.sql # 建表脚本 ├── requirements.txt ├── instance/ # sqlite3 文件与运行时数据不提交 ├── app/ │ ├── __init__.py # 应用工厂注册蓝图和 CLI │ ├── db.py # 连接、关闭、初始化 │ ├── auth.py # 登录、会话、权限装饰器 │ ├── rooms.py # 房间与设备台账 │ ├── loans.py # 借用单申请、审批、归还 │ ├── dashboard.py # 统计看板 │ ├── templates/ │ └── static/ └── tests/ └── test_loans.py # 用临时库跑状态流转启动链路是app.py 调 create_app()工厂里读配置、建 instance 目录、注册四个 Blueprint再注册 init-db 和 mark-overdue 两个 CLI 命令。url_prefix 把房间、借用、看板分开模板里 url_for 写蓝图名后面改前缀不会牵连一堆硬编码链接。这个结构看起来比单文件麻烦但答辩时被问到“业务怎么分层”目录本身就能回答一半。2.2 数据模型用户、房间、设备、借用单四张表怎么落四张表的关系不复杂user 存账号和角色room 存房间device 挂在 room 下loan 同时引用 user、room、device。时间字段统一用 TEXT 存 ISO8601 字符串sqlite3 的文本比较在这种格式下是可靠的状态字段用 CHECK 约束把取值锁死避免后面出现“已借出”和“借出中”两套写法。PRAGMA foreign_keys ON; CREATE TABLE user ( id INTEGER PRIMARY KEY AUTOINCREMENT, username TEXT UNIQUE NOT NULL, password_hash TEXT NOT NULL, role TEXT NOT NULL CHECK (role IN (student, admin)), created_at TEXT NOT NULL DEFAULT (datetime(now, localtime)) ); CREATE TABLE room ( id INTEGER PRIMARY KEY AUTOINCREMENT, name TEXT UNIQUE NOT NULL, capacity INTEGER NOT NULL DEFAULT 1, status TEXT NOT NULL DEFAULT open CHECK (status IN (open, closed)) ); CREATE TABLE device ( id INTEGER PRIMARY KEY AUTOINCREMENT, room_id INTEGER NOT NULL REFERENCES room(id) ON DELETE CASCADE, name TEXT NOT NULL, asset_no TEXT UNIQUE NOT NULL, status TEXT NOT NULL DEFAULT idle CHECK (status IN (idle, borrowed, repair)) ); CREATE TABLE loan ( id INTEGER PRIMARY KEY AUTOINCREMENT, user_id INTEGER NOT NULL REFERENCES user(id), room_id INTEGER NOT NULL REFERENCES room(id), device_id INTEGER REFERENCES device(id), start_at TEXT NOT NULL, end_at TEXT NOT NULL, status TEXT NOT NULL DEFAULT pending CHECK (status IN (pending, approved, rejected, borrowed, returned, overdue)), note TEXT, created_at TEXT NOT NULL DEFAULT (datetime(now, localtime)) ); CREATE INDEX idx_loan_time ON loan(room_id, start_at, end_at);user.role 只放 student 和 admin 两种值loan 的 device_id 允许为空表示只借房间不借设备。room.status 关闭后不再出现在申请下拉框里但历史单据还留着。loan 上建 (room_id, start_at, end_at) 联合索引是因为冲突检测每次都要按房间和时间段筛。PRAGMA foreign_keys ON要在每个连接上执行sqlite3 默认不打开外键约束这一点很容易翻车。2.3 状态机与权限边界谁能改哪张单借用单是整套 Demo 的核心状态不能靠模板按钮控制必须写进 SQL 条件里。初始状态是 pending管理员审批后进入 approved 或 rejected管理员确认借出后变 borrowed学生或管理员发起归还后变 returned超过 end_at 仍为 borrowed 的单据由 CLI 扫描成 overdue。rejected 和 returned 是终态不再参与冲突检测。当前状态动作下一状态操作者pending通过approvedadminpending驳回rejectedadminapproved确认借出borrowedadminborrowed归还returned本人或 adminoverdue归还returned本人或 adminborrowed超过结束时间overdue定时 CLI权限判断放在后端装饰器里login_required 拦截未登录admin_required 拦截非管理员。模板里用g.user[role] admin隐藏审批按钮只是体验优化不能当安全边界。状态更新一律带WHERE id? AND status?执行完看rowcount为 0 就提示“单据状态已变化”这样两个人同时点审批时不会互相覆盖。2.4 技术选型对比为什么不上 ORM 和前端框架这个 Demo 的讲解重点是请求进入后怎么校验、怎么查冲突、怎么改状态不是模型迁移。Flask 原生 sqlite3 的参数化查询足够把这条链路写清楚代码量也压得住。ORM 不是不能用而是前期会把时间花在模型关系和迁移配置上答辩时反而讲不清业务规则落在哪。方案上手成本适合场景这个 Demo 的选择Flask sqlite3 原生低课设、原型、内部小工具选它SQL 和状态机一目了然Django ORM中完整后台、需要权限体系功能多但骨架重Flask SQLAlchemy中需要模型迁移和复杂查询后期换路由层不用大改前端框架 API高交互复杂、多人协作不引入Jinja2 够用不引入前端框架还有一个现实原因试验楼登记页面的交互就是列表、表单、审批按钮Jinja2 服务端渲染加少量 CSS 就能演示。后面真要拆 API把 loans.py 里的函数抽成 service再套一层 JSON 路由即可前期不必为“可能扩展”付代价。3. 核心业务实现从登录鉴权到借用单流转的 Flask 路由这一章落到代码。顺序按请求生命周期走先建应用工厂和数据库连接再处理登录会话然后写借用申请、审批、归还和逾期扫描。每段代码都只保留关键逻辑参数和失败分支在代码后说明。写这类 Demo 最容易犯的错是“页面能点通就算完”但状态机的收口、并发修改的 rowcount、时间格式的统一才是答辩时能讲出深度的部分。3.1 应用工厂与数据库连接g 对象和 teardownsqlite3 的连接不能全局共享Flask 的 g 对象正好按请求存放。get_db() 第一次调用时建连接设置 row_factory 让查询结果能按列名取值打开外键约束并给一个 timeout避免一遇到锁就立刻报错。teardown_appcontext 在请求结束时关闭连接防止连接泄漏。# app/db.py import sqlite3 import click from flask import current_app, g def get_db(): if db not in g: g.db sqlite3.connect( current_app.config[DATABASE], detect_typessqlite3.PARSE_DECLTYPES, timeout10, # 等锁最多 10 秒避免一冲突就报错 ) g.db.row_factory sqlite3.Row g.db.execute(PRAGMA foreign_keys ON) return g.db def close_db(eNone): db g.pop(db, None) if db is not None: db.close() def init_db(): db get_db() with current_app.open_resource(schema.sql) as f: db.executescript(f.read().decode(utf8)) click.command(init-db) def init_db_command(): init_db() click.echo(数据库已初始化) def init_app(app): app.teardown_appcontext(close_db) app.cli.add_command(init_db_command)timeout10的单位是秒sqlite3 在遇到写锁时会等这么久再抛异常detect_typessqlite3.PARSE_DECLTYPES让声明为 TIMESTAMP 的列自动转换但这里的表用 TEXT 存时间主要靠字符串比较不依赖它。init-db命令只负责建表不负责塞演示数据演示数据可以另写 seed 命令避免初始化时把测试账号带进正式库。应用工厂里把 DATABASE 指到 instance 目录测试时用临时路径覆盖同一个 create_app 就能跑两套环境。3.2 登录与会话session 密码哈希的最小实现登录不做复杂权限树session 里只存 user_id每次请求用 before_app_request 查出用户对象挂到 g.user。这样角色改了之后下一次请求就生效不会出现“旧会话还带着管理员身份”的问题。密码用 werkzeug.security 的 generate_password_hash 和 check_password_hash不存明文。# app/auth.py import functools from flask import Blueprint, flash, g, redirect, render_template, request, session, url_for from werkzeug.security import check_password_hash from .db import get_db bp Blueprint(auth, __name__) bp.before_app_request def load_logged_in_user(): user_id session.get(user_id) g.user None if user_id is not None: g.user get_db().execute( SELECT id, username, role FROM user WHERE id?, (user_id,) ).fetchone() bp.route(/login, methods(GET, POST)) def login(): if request.method POST: username request.form.get(username, ).strip() password request.form.get(password, ) user get_db().execute( SELECT * FROM user WHERE username?, (username,) ).fetchone() if user is None or not check_password_hash(user[password_hash], password): flash(用户名或密码不正确, error) else: session.clear() session[user_id] user[id] return redirect(url_for(dashboard.index)) return render_template(auth/login.html) def login_required(view): functools.wraps(view) def wrapped_view(**kwargs): if g.user is None: return redirect(url_for(auth.login)) return view(**kwargs) return wrapped_view def admin_required(view): functools.wraps(view) def wrapped_view(**kwargs): if g.user is None or g.user[role] ! admin: flash(需要管理员权限, error) return redirect(url_for(dashboard.index)) return view(**kwargs) return wrapped_view登录成功后先session.clear()再写 user_id是为了防止会话固定攻击虽然 Demo 不展开安全专题但这个动作成本低。load_logged_in_user用 before_app_request所有蓝图都能拿到 g.user。装饰器只做拦截真正的角色判断在路由和 SQL 条件里再兜一层。注册路由可以保留但限制为管理员创建账号避免演示时谁都能注册管理员。3.3 借用申请与审批事务、冲突检测和状态更新申请页要处理三件事表单校验、时间段冲突、插入单据。校验放在独立函数里方便测试直接调用冲突检测用半开区间start_at 新结束 AND end_at 新开始能识别部分重叠插入后统一 commit。审批路由只允许 pending 被改成 approved 或 rejected用 rowcount 判断是否有人抢先改过。# app/loans.py节选 from datetime import datetime from flask import Blueprint, abort, flash, g, redirect, render_template, request, url_for from .auth import admin_required, login_required from .db import get_db bp Blueprint(loans, __name__) def validate_loan_form(room_id, start_at, end_at): if not room_id: return 请选择房间 try: start datetime.fromisoformat(start_at) end datetime.fromisoformat(end_at) except ValueError: return 时间格式应为 YYYY-MM-DDTHH:MM if start end: return 结束时间必须晚于开始时间 if start datetime.now(): return 开始时间不能早于当前时间 if (end - start).total_seconds() 8 * 3600: return 单次借用不能超过 8 小时 return None bp.route(/apply, methods(GET, POST)) login_required def apply(): db get_db() if request.method POST: room_id request.form.get(room_id, typeint) start_at request.form.get(start_at, ).strip() end_at request.form.get(end_at, ).strip() note request.form.get(note, ).strip() error validate_loan_form(room_id, start_at, end_at) if error is None: conflict db.execute( SELECT COUNT(*) AS n FROM loan WHERE room_id? AND status IN (approved,borrowed,overdue) AND start_at ? AND end_at ?, (room_id, end_at, start_at), ).fetchone()[n] if conflict: error 该时间段已被占用换一个时间或房间 if error is None: db.execute( INSERT INTO loan (user_id, room_id, start_at, end_at, note) VALUES (?, ?, ?, ?, ?), (g.user[id], room_id, start_at, end_at, note), ) db.commit() flash(借用申请已提交等待审批, ok) return redirect(url_for(loans.my_loans)) flash(error, error) rooms db.execute(SELECT * FROM room WHERE statusopen ORDER BY name).fetchall() return render_template(loans/apply.html, roomsrooms) bp.route(/int:loan_id/review, methods(POST,)) admin_required def review(loan_id): action request.form.get(action) if action not in (approve, reject): abort(400) new_status approved if action approve else rejected db get_db() cur db.execute( UPDATE loan SET status? WHERE id? AND statuspending, (new_status, loan_id), ) db.commit() if cur.rowcount 0: flash(单据状态已变化刷新后重试, error) else: flash(审批完成, ok) return redirect(url_for(loans.all_loans))validate_loan_form的四个参数类型要固定room_id 是 intstart_at 和 end_at 是字符串返回 None 表示通过。datetime.fromisoformat能直接吃YYYY-MM-DDTHH:MM和input typedatetime-local的提交格式一致。冲突查询只把 approved、borrowed、overdue 算作占用pending 不占时间否则一个人提交未审批的单据就能把房间锁死。审批 UPDATE 带statuspendingrowcount 为 0 说明单据已被别人处理这时候不要强行覆盖提示刷新更稳。注意冲突检测和 INSERT 之间没有数据库级唯一约束高并发下仍可能插进两条重叠单。课程设计演示够用真要上生产给时间段加排他约束或把检测和插入放进同一个BEGIN IMMEDIATE事务。3.4 归还与逾期定时扫描与统计 SQL归还动作要校验“是不是本人的单”以及“当前状态能不能还”。管理员可以代还普通用户只能还自己的。状态只允许从 borrowed 或 overdue 改成 returned其他状态一律拒绝。逾期不放在请求里扫全表单独做一个 CLI 命令演示时手动跑一次生产环境交给定时任务。# app/loans.py续 bp.route(/int:loan_id/return, methods(POST,)) login_required def return_loan(loan_id): db get_db() loan db.execute(SELECT * FROM loan WHERE id?, (loan_id,)).fetchone() if loan is None: abort(404) if g.user[role] ! admin and loan[user_id] ! g.user[id]: abort(403) cur db.execute( UPDATE loan SET statusreturned WHERE id? AND status IN (borrowed,overdue), (loan_id,), ) db.commit() if cur.rowcount: flash(归还成功, ok) else: flash(当前状态不能归还, error) return redirect(url_for(loans.my_loans)) # 逾期扫描命令注册到 app.cli import click click.command(mark-overdue) def mark_overdue_command(): db get_db() cur db.execute( UPDATE loan SET statusoverdue WHERE statusborrowed AND end_at datetime(now,localtime) ) db.commit() click.echo(f标记逾期 {cur.rowcount} 条)归还路由先查单据再判断权限避免普通用户通过猜 id 操作别人的单。status IN (borrowed,overdue)把可归还状态收口approved 还没借出的单不能直接还。逾期命令用datetime(now,localtime)和建表时的默认时间保持同一时区口径如果服务器时区不一致end_at 和 now 的比较就会偏后面避坑章会展开。CLI 命令适合答辩现场演示“系统能自动识别逾期”也比在列表页每次请求扫全表更干净。4. 页面与交互落地Jinja2 模板、表单校验和统计看板后端路由跑通之后页面要让人能点、能看懂、能演示。这套 Demo 不引入前端构建链模板按 base、列表、表单三层拆CSS 只写必要布局。表单校验以服务端为准前端 required 和 maxlength 只做体验。看板用一条聚合 SQL 把房间借用情况压成一页答辩时翻到这一页比列一堆代码更有说服力。4.1 模板分层base、列表页、表单页base.html 管导航、flash 消息和内容块所有页面继承它。导航里的“审批台”只对管理员显示但后端 review 路由仍然有 admin_required模板隐藏只是不让普通用户看到入口。flash 消息按 category 输出 ok 或 errorCSS 给两种颜色即可。!-- app/templates/base.html -- !doctype html html langzh-CN head meta charsetutf-8 title{% block title %}试验楼借用登记{% endblock %}/title link relstylesheet href{{ url_for(static, filenamestyle.css) }} /head body nav a href{{ url_for(dashboard.index) }}看板/a a href{{ url_for(rooms.list_rooms) }}房间/a a href{{ url_for(loans.my_loans) }}我的借用/a {% if g.user and g.user[role] admin %} a href{{ url_for(loans.all_loans) }}审批台/a {% endif %} /nav {% for category, message in get_flashed_messages(with_categoriestrue) %} div classflash {{ category }}{{ message }}/div {% endfor %} {% block content %}{% endblock %} /body /html{% block title %}和{% block content %}让子模板只写差异部分url_for(static, filenamestyle.css)走 Flask 静态路由换部署前缀不用改路径。导航里的 g.user 是 before_app_request 挂上去的未登录时为 None所以判断要加g.user and。flash 消息用 with_categoriestrue模板才能拿到 ok/error 分类避免所有提示一个颜色。4.2 表单校验与错误回显不用 WTForms 也能做申请表单用原生 HTML 控件房间下拉从数据库取 open 状态的房间时间用 datetime-local备注限制 200 字。前端 required 只能拦住空值时间先后、超过 8 小时、时间段冲突仍然要靠后端 validate_loan_form 和冲突查询。错误通过 flash 回显页面刷新后表单内容不保留这是 Demo 的取舍要保留可以再把 request.form 传回模板。!-- app/templates/loans/apply.html -- {% extends base.html %} {% block title %}提交借用申请{% endblock %} {% block content %} form methodpost label房间 select nameroom_id required {% for room in rooms %} option value{{ room[id] }}{{ room[name] }}{{ room[capacity] }} 人/option {% endfor %} /select /label label开始时间 input typedatetime-local namestart_at required/label label结束时间 input typedatetime-local nameend_at required/label label用途说明 textarea namenote maxlength200/textarea/label button typesubmit提交申请/button /form {% endblock %}datetime-local提交的值就是YYYY-MM-DDTHH:MM和datetime.fromisoformat对得上如果换成 text 输入用户很可能敲2025/03/01 9:00后端解析直接失败。maxlength200只是浏览器限制后端仍要截断或校验 note 长度。房间下拉只查 open关闭的房间不会出现在选项里但历史单据里的 room_id 仍然能关联出房间名。4.3 看板 SQL 与分页让答辩时有一页能讲看板按房间聚合统计总借用单、进行中的单、逾期单。LEFT JOIN 保证没有借用的房间也出现在列表里SUM(CASE WHEN ...) 把不同状态压成列。列表页用 LIMIT/OFFSET 分页page 从 query string 取非法值压到 1总页数用 ceil 算。SELECT r.name, COUNT(l.id) AS total, SUM(CASE WHEN l.status IN (approved, borrowed, overdue) THEN 1 ELSE 0 END) AS active, SUM(CASE WHEN l.status overdue THEN 1 ELSE 0 END) AS overdue FROM room r LEFT JOIN loan l ON l.room_id r.id GROUP BY r.id, r.name ORDER BY overdue DESC, active DESC, r.name;# app/loans.py 里的列表分页节选 from math import ceil from flask import request, render_template from .db import get_db def list_page(): db get_db() page max(request.args.get(page, 1, typeint), 1) per_page 10 offset (page - 1) * per_page total db.execute(SELECT COUNT(*) AS n FROM loan).fetchone()[n] rows db.execute( SELECT l.*, r.name AS room_name, u.username FROM loan l JOIN room r ON r.id l.room_id JOIN user u ON u.id l.user_id ORDER BY l.created_at DESC LIMIT ? OFFSET ?, (per_page, offset), ).fetchall() return render_template( loans/list.html, loansrows, pagepage, pagesceil(total / per_page) if total else 1, )聚合 SQL 里 active 把 approved、borrowed、overdue 都算作占用中overdue 单独再算一列排序时逾期多的房间排前面答辩现场一眼能看到问题房间。分页代码里request.args.get(..., typeint)自带类型转换传字母会得到默认值 1max(..., 1)防止 page0 或负数。LIMIT 和 OFFSET 用参数占位不拼字符串避免注入。总页数为 0 时给 1模板不会出现“第 1 页 / 共本文还有配套的精品资源点击获取
