Короткий ответ Режим debug=True включает интерактивный веб-дебаггер Werkzeug, который при необработанном исключении позволяет выполнять произвольный Python-код в браузере через консоль отладчика — это критическая угроза безопасности при доступности приложения извне. Как это работает подробнее В debug-режиме Flask (через Werkzeug) перехватывает необработанные исключения и показывает подробную трассировку с интерактивной консолью на каждом кадре стека; эта консоль по умолчанию защищена только PIN-кодом, который при определённых условиях можно подобрать или который виден в логах запуска. Пример кода Что использовать на практике Практика. Debug-режим полезен только на локальной машине разработчика, недоступной из интернета. В production используют debug=False (или вообще не запускают через встроенный app.run, а используют production WSGI-сервер — gunicorn/uWSGI) и отдельный централизованный логгер ошибок (например, Sentry). Подводные камни Риск. Включают debug=True «для удобства отладки» на staging/production сер