तुम वातावरणे असलेल्या सेटिंग्जचे व्यवस्थापन कसे करता?

Question

Accepted Answer

Django कॉन्फिगरेशन `settings.py` मध्ये राहते, परंतु वास्तविक अनुप्रयोगांना **प्रत्येक वातावरणासाठी भिन्न सेटिंग्ज** (विकास, स्टेजिंग, उत्पादन) आवश्यक असतात आणि **गुपितांना कोडच्या बाहेर ठेवणे** अनिवार्य आहे. यास योग्यरित्या व्यवस्थापित करणे हे ऑपरेशनल आवश्यकता आणि सुरक्षा आवश्यकता दोन्हीही आहे.

## एकल settings.py ची समस्या

```python
# ❌ hardcoded, environment-mixed, and INSECURE settings
DEBUG = True                                    # must be False in production!
SECRET_KEY = "hardcoded-secret-in-code"          # ❌ secret committed to git
DATABASES = {"default": {"PASSWORD": "prod-pw"}} # ❌ production password in code
```

मूल्यांना हार्डकोड करणे वातावरणे मिश्रित करते आणि — गंभीर बाब म्हणून — गुपिते (SECRET_KEY, डेटाबेस पासवर्ड, API की) व्हर्जन नियंत्रणामध्ये कमिट करते, जी एक गंभीर सुरक्षा उल्लंघन आहे.

## समाधान 1: पर्यावरण व्हेरिएबल्समधून कॉन्फिग वाचा

```python
import os
from pathlib import Path

SECRET_KEY = os.environ["DJANGO_SECRET_KEY"]    # from the environment, NOT code
DEBUG = os.environ.get("DJANGO_DEBUG", "False") == "True"
ALLOWED_HOSTS = os.environ.get("ALLOWED_HOSTS", "").split(",")
DATABASES = {
    "default": {
        "ENGINE": "django.db.backends.postgresql",
        "NAME": os.environ["DB_NAME"],
        "PASSWORD": os.environ["DB_PASSWORD"],   # injected per environment
    }
}
# tools like django-environ / python-decouple make this cleaner (+ .env file support)
```

कॉन्फिग (विशेषतः गुपिते) **पर्यावरण व्हेरिएबल्स** मधून वाचणे ते कोडच्या बाहेर ठेवते — समान कोडबेस कोणत्याही वातावरणामध्ये भिन्न इंजेक्ट केलेल्या मूल्यांसह चालते (बारा-घटक दृष्टिकोन).

## समाधान 2: प्रत्येक वातावरणासाठी सेटिंग्ज फाईल विभाजित करा

```text
settings/
  base.py          # shared settings (apps, middleware, templates)
  development.py   # from base import *; DEBUG=True, local DB, debug toolbar
  production.py    # from base import *; DEBUG=False, security hardening, real DB
  test.py          # test-specific settings
```

```python
# production.py
from .base import *
DEBUG = False
ALLOWED_HOSTS = ["example.com"]
SECURE_SSL_REDIRECT = True            # production-only security settings
# select via: DJANGO_SETTINGS_MODULE=config.settings.production
```

सेटिंग्ज विभाजित करणे एक सामायिक `base.py` तसेच प्रति-वातावरण फाईल्समध्ये (निवडली जाते `DJANGO_SETTINGS_MODULE` द्वारे) सामान्य सेटिंग्ज सामायिक करताना वातावरण-विशिष्ट कॉन्फिगरेशन स्वच्छपणे वेगळे करते.

## महत्त्वपूर्ण उत्पादन सेटिंग्ज

```python
DEBUG = False                  # ❗ NEVER True in production — leaks sensitive error info
ALLOWED_HOSTS = ["example.com"] # required when DEBUG=False
SECRET_KEY = os.environ[...]    # strong, secret, from the environment
# + SECURE_SSL_REDIRECT, SESSION_COOKIE_SECURE, HSTS, etc. for hardening
```

```text
✓ NEVER commit secrets — use env vars / a secret manager; gitignore .env
✓ DEBUG=False in production (DEBUG=True leaks tracebacks, settings → security risk)
✓ Commit a .env.example documenting required variables (no real values)
```

## हे महत्वाचे का आहे

वातावरणे असलेल्या सेटिंग्जचे व्यवस्थापन हे कोणत्याही वास्तविक Django अनुप्रयोगासाठी **ऑपरेशनल आवश्यकता** आणि **गंभीर सुरक्षा अभ्यास** दोन्हीही आहे.

अनुप्रयोगांना वातावरणे भर वेगळ्या पद्धतीने वर्तन करणे आवश्यक आहे — विकासासाठी `DEBUG=True` आणि सुविधाजनक स्थानिक सेटिंग्ज आवश्यक असतात, तर उत्पादनासाठी `DEBUG=False`, सुरक्षा कठोरता, वास्तविक डेटाबेस आणि योग्य होस्ट्स आवश्यक असतात — आणि एकल हार्डकोड केलेले `settings.py` यांच्या सर्व सेवा करू शकत नाही.

अधिक महत्त्वपूर्ण गोष्ट म्हणजे, हा एक **मुख्य सुरक्षा चिंता** आहे: गुपिते (SECRET_KEY, डेटाबेस पासवर्ड, API की) हार्डकोड करणे ते व्हर्जन नियंत्रणामध्ये कमिट करते, हा सर्वात सामान्य आणि गंभीर सुरक्षा उल्लंघन आहे (रिपोजिटरी प्रवेशाधिकार असणार्‍या किंवा सार्वजनिक रिपोजिटरीमध्ये कोणीही तुमच्या अनुप्रयोग आणि डेटाच्या कळा मिळवतो).

समाधान समजून घेणे — **पर्यावरण व्हेरिएबल्स** मधून कॉन्फिग आणि गुपिते वाचणे (ते कोडच्या बाहेर ठेवणे, बारा-घटक दृष्टिकोन, अनेकदा django-environ सारख्या साधनांसह आणि .gitignored `.env` फाईल्स) आणि **सेटिंग्ज विभाजित करणे** एक सामायिक आधार तसेच प्रति-वातावरण फाईल्समध्ये — Django सुरक्षितपणे आणि योग्यरित्या तैनात करण्यासाठी अत्यावश्यक आहे.

**गंभीर उत्पादन सेटिंग्ज** जाणून घेणे (विशेषतः `DEBUG` उत्पादनामध्ये `False` असले पाहिजे, कारण `DEBUG=True` tracebacks, स्रोत पथ आणि सेटिंग्ज आक्रमणकारांना लीक करते, तसेच `ALLOWED_HOSTS` आणि सुरक्षा कठोरता) गैर-परिवर्तनीय उत्पादन ज्ञान आहे.

सेटिंग्जचे व्यवस्थापन योग्यरित्या करणे — पर्यावरणामध्ये गुपिते, वातावरण-योग्य कॉन्फिगरेशन, सुरक्षित उत्पादन डिफॉल्ट्स — Django अनुप्रयोग व्यावसायिकरित्या चालवणे आणि लीक केलेल्या गुपित्यांच्या किंवा गलत कॉन्फिगर केलेल्या उत्पादन वातावरणांमधून येणार्‍या गंभीर असुरक्षितता टाळणे मूलभूत आहे, कोणत्याही वास्तविक तैनातीसाठी महत्वाचे, व्यावहारिकदृष्ट्या-गंभीर ज्ञान बनवते.