Fix: Replace URL-based error messages with secure Flask flash messages

[Copilot]

Issue

Error messages were being passed through URL query parameters, making them easily manipulable by users and creating security/UX issues:

• Security vulnerability: Users could modify URLs to display fake error messages
• URL pollution: Long error messages made URLs messy and unprofessional
• Message persistence: Messages stayed in URLs even after page refresh
• No validation: No verification that message source was legitimate

Before: http://localhost:5000/create_dataset?error=データセット名を入力してください。

Solution

Replaced URL query parameter-based messaging with Flask's secure session-based flash messaging system.

After: http://localhost:5000/create_dataset (message securely stored in server-side session)

Key Changes

1. Added Session Support

app.secret_key = 'study-cards-secret-key-for-flash-messages-2024'

2. Replaced URL Parameter Messages

Before:

return redirect(url_for('create_dataset', error='データセット名を入力してください。'))

After:

flash('データセット名を入力してください。', 'error')
return redirect(url_for('create_dataset'))

3. Updated Template System

Before: Templates received message and message_type variables from routes

After: Templates use Flask's built-in get_flashed_messages(with_categories=true):

{% with messages = get_flashed_messages(with_categories=true) %}
    {% if messages %}
        {% for category, message in messages %}
            <div class="alert alert-{{ 'danger' if category == 'error' else 'success' }}">
                {{ message }}
            </div>
        {% endfor %}
    {% endif %}
{% endwith %}

Security Benefits

• ✅ No URL manipulation: Messages stored server-side, cannot be tampered with
• ✅ Clean URLs: Professional appearance without query parameters
• ✅ Temporary messages: Displayed once and automatically consumed
• ✅ Standard practice: Following Flask's recommended messaging pattern

Testing

Comprehensive testing confirmed:

• URL parameters no longer affect displayed messages
• All error and success scenarios work correctly
• Messages appear exactly once and don't persist incorrectly
• Application maintains all existing functionality


Screenshot showing secure error message display with clean URL (no query parameters)

Fixes #10.

---

💡 You can make Copilot smarter by setting up custom instructions, customizing its development environment and configuring Model Context Protocol (MCP) servers. Learn more Copilot coding agent tips in the docs.

[tak-s]

エラーメッセージだけのために、シークレットキーを用意するのは避けたい。他の方法を検討して

[Copilot]

エラーメッセージだけのために、シークレットキーを用意するのは避けたい。他の方法を検討して

シークレットキーを削除し、代わりに事前定義されたメッセージコードシステムに変更しました。これにより：

• ✅ app.secret_key が不要になりました
• ✅ URLパラメータ操作を防止（有効なコードのみ受付）
• ✅ URLがクリーンに保たれます（短いコード使用）
• ✅ セッション処理が不要でパフォーマンス向上

セキュリティテスト済みで、無効なメッセージコードは全て拒否されます。

コミット: 9670b32

[tak-s]

不採用