poprawne formatiowanie to:
user = DBSession.query(User).filter(User.name == form.login.data)\
                                            .filter(User.password == field.data).first()