Можно и так и так.

Автоматически можно из токена вынимать, но это в случае когда юзер который делает запрос там же вопрос и составил.

понял, а

@app.route('/add_choice', methods=['POST'])
def create_choice():
    choice_text = request.json['choice_text']
    user_id = request.json['user_id']
    question_id = request.json['question_id']
    choice = Choice(choice_text=choice_text,
                    user_id=user_id, question_id=question_id)
    db.session.add(choice)
    db.session.commit()
    return choice_serializer.jsonify(choice)

вот так добавлять через вьюху это норм?

сериализирую через marshmallow

А почему айди юзера из запроса, а не из сессии?

У тебя один юзер может отвечать за другого?

@app.route('/add_choice', methods=['POST'])
def create_choice():
    choice_text = request.json['choice_text']
    user_id = request.json['user_id']
    question_id = request.json['question_id']
    choice = Choice(choice_text=choice_text,
                    user_id=user_id, question_id=question_id)
    db.session.add(choice)
    db.session.commit()
    return choice_serializer.jsonify(choice)

а если я чужой id подставлю, то мне придет чужой вопрос?

об этом  я не подумал, а как через сессию брать?
в какую сторону гуглить

в сторону того, как у тебя сделана авторизация

еще не делал, но буду через токен делать

да, то что мне нужно)

спасибо

Приложение должно предоставлять API, позволяющее проходить регистрацию,
авторизовываться по Basic Auth, позволяющее добавлять, редактировать, удалять
голосования и ответы пользователей со следующими условиями
я так понимаю, мне надо сделать админа который имеет все привилегии CRUD а ?

если basic auth, какой ещё токен?

в первый раз делаю, сильно не бейте)

https://flask-httpauth.readthedocs.io/en/latest/
то что мне нужно для авторизации?

спам?

Да.

@auth.verify_password
def verify_password(username, password):
    user = User.query.filter_by(username=username).first()
    if not user or not user.check_password(password):
        return False
    g.user = user
    return True

сделал basic auth
а как получить этого юзера теперь ?
и передать вот сюда

@app.route('/add_question<current_user>', methods=['POST'])
def create_question(current_user):
    question_text = request.json['question']
    question = Question(question_text=question_text, user_id=current_user.id)
    db.session.add(question)
    db.session.commit()
    return question_serializer.jsonify(question)