A Django konfiguráció a settings.py fájlban található, de a valós alkalmazások eltérő beállításokat igényelnek környezetenként (fejlesztés, staging, produkció), és titoknak kell maradniuk a kódból kívül. Ennek helyes kezelése operatív szükséglet és biztonsági követelmény egyaránt.
settings.py fájllal# ❌ hardcoded, environment-mixed, and INSECURE settings
DEBUG = True # must be False in production!
SECRET_KEY = "hardcoded-secret-in-code" # ❌ secret committed to git
DATABASES = {"default": {"PASSWORD": "prod-pw"}} # ❌ production password in code
Az értékek hardkódolása keveri az környezeteket, és — kritikusan — titkok (SECRET_KEY, adatbázis jelszavak, API kulcsok) kerülnek be a verziókövetésbe, amely súlyos biztonsági sérülés.
import os
from pathlib import Path
SECRET_KEY = os.environ["DJANGO_SECRET_KEY"] # from the environment, NOT code
DEBUG = os.environ.get("DJANGO_DEBUG", "False") == "True"
ALLOWED_HOSTS = os.environ.get("ALLOWED_HOSTS", "").split(",")
DATABASES = {
"default": {
"ENGINE": "django.db.backends.postgresql",
"NAME": os.environ["DB_NAME"],
"PASSWORD": os.environ["DB_PASSWORD"], # injected per environment
}
}
# tools like django-environ / python-decouple make this cleaner (+ .env file support)
A konfiguráció (különösen a titkok) olvasása környezeti változókból tartja azt a kódon kívül — ugyanaz a kódbázis bármely környezetben futhat eltérő injektált értékekkel (a twelve-factor megközelítés).
settings/
base.py # shared settings (apps, middleware, templates)
development.py # from base import *; DEBUG=True, local DB, debug toolbar
production.py # from base import *; DEBUG=False, security hardening, real DB
test.py # test-specific settings
# production.py
from .base import *
DEBUG = False
ALLOWED_HOSTS = ["example.com"]
SECURE_SSL_REDIRECT = True # production-only security settings
# select via: DJANGO_SETTINGS_MODULE=config.settings.production
A beállítások felosztása egy közös base.py és környezet-specifikus fájlokra (a DJANGO_SETTINGS_MODULE alapján kiválasztva) tisztán szétválasztja a környezet-specifikus konfigurációt, miközben megosztja a közös beállításokat.
DEBUG = False # ❗ NEVER True in production — leaks sensitive error info
ALLOWED_HOSTS = ["example.com"] # required when DEBUG=False
SECRET_KEY = os.environ[...] # strong, secret, from the environment
# + SECURE_SSL_REDIRECT, SESSION_COOKIE_SECURE, HSTS, etc. for hardening
✓ NEVER commit secrets — use env vars / a secret manager; gitignore .env
✓ DEBUG=False in production (DEBUG=True leaks tracebacks, settings → security risk)
✓ Commit a .env.example documenting required variables (no real values)
A beállítások kezelése a környezetek között operatív szükséglet és kritikus biztonsági gyakorlat egyaránt bármely valós Django alkalmazásban.
Az alkalmazások másképpen kell, hogy viselkedjenek a különböző környezetekben — a fejlesztés DEBUG=True és kényelmes helyi beállításokat igényel, míg a produkció DEBUG=False, biztonsági megerősítést, valódi adatbázisokat és megfelelő hostokat — és egy egyetlen hardkódolt settings.py nem szolgálhatja mindezeket.
Még fontosabb, hogy ez egy jelentős biztonsági kockázat: titkok hardkódolása (a SECRET_KEY, adatbázis jelszavak, API kulcsok) verziókövetésbe kerülésükhöz vezet, amely az egyik leggyakoribb és legsúlyosabb biztonsági sérülés (aki hozzáfér a tárolóhoz, vagy nyilvános tárolóban, megkapja az alkalmazásodhoz és adataidhoz szükséges kulcsokat).
A megoldások megértése — a konfiguráció és titkok olvasása környezeti változókból (tartva őket a kódon kívül, a twelve-factor megközelítés, gyakran django-environ és .gitignore-ba helyezett .env fájlok segítségével) és a beállítások felosztása közös alapra és környezet-specifikus fájlokra — elengedhetetlen a Django biztonságos és helyes telepítéséhez.
A kritikus produkciós beállítások ismerete (különösen, hogy a DEBUG False kell legyen a produkcióban, mivel DEBUG=True traceback-eket, forráskódkönyvtárakat és beállításokat szivárog ki a támadóknak, valamint az ALLOWED_HOSTS és biztonsági megerősítés) nem tárgyalható produkciós tudás.
A beállítások kezelésének helyes megoldása — titkok a környezetből, környezetre alkalmas konfiguráció, biztonságos produkciós alapbeállítások — alapvető a Django alkalmazások professzionális futtatásához, és megelőzi a kiszivárgott titkok vagy félreállított produkciós környezetek okozta súlyos sebezhetőségeket, így fontos, gyakorlatilag kritikus tudás bármely valódi telepítéshez.