flask CSRF missing

А нафига форму слать jQuery, шли дефолтом. CSRF токен надо слать в любых запросах, отсылающие/изменяющие данные, в т.ч. ajax

на jquery сделан другой функционал(это пример), почему бы и нет. нашел вот такое, работает:

<script type="text/javascript">
    var csrf_token = "{{ csrf_token() }}";

    $.ajaxSetup({
        beforeSend: function(xhr, settings) {
            if (!/^(GET|HEAD|OPTIONS|TRACE)$/i.test(settings.type) && !this.crossDomain) {
                xhr.setRequestHeader("X-CSRFToken", csrf_token);
            }
        }
    });
</script>

Я правильно понял, что эта функция добавляет во все post запросы (header c csrf_token)? Т.е. можно не добавлять в форму {{ form.hidden_tag() }}?

ну если у тебя формы обрабатывает js, тогда тебе нужно добавлять либо таким образом что ты нашел, либо:

https://pastebin.com/GgR7VETw

То есть ты в форме задаешь свой скрытый тэг с csrf и при submit он ловит все инпуты формы

спасибо. А по феншую как лучше или с точки зрения безопасности, через js или …?

В разных проектах я видел по разному, все зависит от ситуации